공인인증서, 액티브X와 결별하려면

http://www.zdnet.co.kr/news/news_view.asp?artice_id=20120329124248

[지디넷코리아]국내 공인인증서 서비스 환경에서 액티브X를 걷어낼 것으로 기대되는 웹표준화 논의가 수면위로 떠올랐다. 웹표준화기구 W3C의 ‘웹 크립토그래피 워킹그룹(WG)’이 우리나라 인터넷뱅킹 서비스 사용 사례를 지원할 기능 표준화를 논의해온 중간 결과다. (23일자 보도 [단독]“액티브X 없이 공인인증서 쓴다“ 참고)

최근 한국모질라커뮤니티 윤석찬 리더는 이같은 성과에 많은 문의가 쏟아져 관심이 높아진 것은 반갑지만, 앞서 지속된 국내 소수 업계인들의 노력을 인지하고 W3C 대한민국 사무국 등 공식 조직의 체계적인 지원은 찾아보기 어려웠다고 일침을 가했다. 불만이 있다면 이를 바꿔나갈 행동과 관심을 보여 달라는 이야기로 들린다.

그는 29일 개인 블로그를 통해서도 “웹 크립토그래피 WG은 (2008년 이전부터) 꾸준히 얘기한 끝에 성사된 결과인데 몇년간 W3C에서 이를 얘기하고 모질라에 어필하는 동안 일부 보안 업계 전문가들의 지원을 제외하고 W3C 한국 사무국, 회원사, 표준 전문가들의 어떤 관심도 보지 못했다”며 “그간 국내 폐쇄적 인터넷 뱅킹 현실에 말만 많았지 표준 영역에 지속적인 관심을 갖고 행동을 보인 사람은 거의 없었다는 점이 매우 유감”이라고 언급했다.

▲ 현재 국내 보안규정을 따르는 공인인증서 서비스체계가 브라우저 자체 기능으로 구현되지 않는 요건을 강제하기 때문에 액티브X나 플러그인 기술이 반드시 요구되는 상황이다. 차세대 웹표준 기반 인증기술로 이를 지원할 수 있다면 기술적으로는 브라우저 자체 인증서 처리가 가능해진다.

실제로 앞서 언급한 지디넷코리아 보도에 대한 일반인들의 반응을 보면 과거 논의된 내용의 이력에 대해 아는 경우를 찾기 어렵다. 호의적인 입장의 누리꾼은 “이제라도 이런 움직임이 시작돼 다행”이라 말하고, 부정적인 시각일 경우 “기술이 나왔다는 것도 아니고 개발 중이라는 것도 아니고 조직이 생겼다는 수준이냐”고 불평한 것이다.

기술 표준화가 시작됐다고 당장 가만있으면 몇 년 이내에 액티브X 없이 브라우저만 갖고 공인인증서로 인터넷뱅킹 서비스를 이용할 수 있는 게 아니다. 국내 이해당사자간 합의할 사안과 제도적으로 풀어야 할 부분, PC보안과 관련된 사용자 문화 측면의 변화도 함께 이뤄져야 한다. 이에 해당 논의의 이력과 현재 상황과 향후 흐름을 정리했다.

■W3C 웹 크립토그래피 WG가 생기기까지

앞서 지난해말 모질라, 구글, W3C는 액티브X 기반 공인인증체계를 대신할만한 웹기반 인증 기술 확보를 위해 표준 개발에 나섰다. 그 훨씬 이전부터 윤석찬 리더는 개인 자격으로 W3C HTML WG이나 웹앱 WG에 관련 의견 제안과 기술 초안 작성 등 활동을 해오다 모질라가 직접 관심을 보이도록 요청했다고 한다.

이후 2008년 방한한 미첼 베이커 모질라 의장이 액티브X에 묶인 국내 공인인증서 환경의 문제를 인지했고, 2010년 루카스 아담스키 모질라 보안 총괄 책임자와 2011년 안드레아스 갈의 방한을 계기로 모질라 내부의 지원 계획이 구체화됐다. 모질라 내부 프로토타입과 스펙을 만들기 시작한 것이다.

이에 따라 지난해 5월부터 초기 API를 개발하고 일차 구현과 테스트를 진행, 8월에는 W3C WebCrypto API 커뮤니티 그룹을 열어 의견 수렴, 11월 W3C 티팩(TPAC) 회의 상정을 통한 표준 워킹그룹 발족이 이뤄졌다.

■파이어폭스, 웹킷 계열에 구현-테스트

지난주까지 해당 WG에 속한 회원사들간 의견이 모였고, 이변이 없다면 다음달부터 웹표준 영역에 국내 인터넷뱅킹 등을 고려한 기능들이 1차, 2차로 나뉘는데 우선순위에 따라 구현될 예정이다. 우선순위가 높은 1차 영역은 이미 파이어폭스를 만드는 모질라의 게코(Gecko)엔진과 구글이 크롬에, 애플이 사파리에 탑재한 웹킷(Webkit)엔진에 구현중이다.

윤석찬 리더에 따르면 1차 영역에 키 생성, 암호화, 복호화, 디지털서명 생성과 유효성 확인, 메시지 인증과 키 이동, 난수 발생, 싱글 세션 키 생성과 저장 기능이 포함된다. 2차 영역에 TLS 세션 기반 로그인과 로그아웃, 키 생성과 데이터 보호, 키 내보내기와 가져오기, 키 정보 확인과 키 발급, 인증 서비스상의 선택과 폐기와 이에 기반한 전자서명과 암호화 기능이 포함된다.

그는 “1차 기능은 WG이 만들어질 때 기본적으로 제안돼 있던 영역이고 모질라에서 제안한 웹 기반 암호화, 서명을 위한 싱글 세션 기반 구현체 ‘DOMCrypt’가 이미 있어 2차 기능을 수행할 수 있는 기초가 된다”고 설명했다.

현존하는 데스크톱과 모바일 브라우저 대부분이 1차 영역 기능을 지원하기는 어렵지 않을 전망이다. 1차 기능은 브라우저 엔진을 개발하면서 구현 가능한 수준이다. 그런데 2차 기능 일부 항목은 운영체제(OS)와 동작 플랫폼마다 따로 만들어야 할 경우도 있다. 브라우저가 2차 기능까지 지원해야 국내 환경에 맞는 인증서 서비스를 위한 최소한의 기술적 가능성이 열린다.

W3C 웹 크립토그래피 WG에 후순위로 국내 인증서 환경을 반영할 여지가 생긴 것은 사실이지만, 손 놓고 있으면 알아서 표준화해 준다는 얘기가 아니다. 국내 이해당사자의 노력여하와 꾸준한 업계 관심이 요구된다.

■향후 활동 방향과 남은 과제

WG의 1차 목표는 ‘DOMCrypt API’를 표준화해 2개 이상의 브라우저에서 구현과 테스트를 병행하는 것이다. 이 동안 여러 사례를 수집해 2차 기능에 대한 표준 작업 제안이 요구된다. 이를 위해 앞서 윤석찬 리더가 DOM Crypt, 로그인 로그아웃, 서명, 외부단말기 제공 내용을 포함해 만든 ‘Web Crypto API’ 초안이 일부 발췌된다. 구글과 모질라의 엔지니어들도 구현을 위한 의견을 나누는 중이다.

국내서도 W3C 웹 크립토그래피 WG에 액티브X를 대체할 수 있는 인증서 처리기능 표준화 활동을 본격화한다. 윤석찬 리더의 초안으로 시작된 모질라의 기존 구현체를 발전시키는 것이다.

윤석찬 리더에 따르면 한국인터넷진흥원(KISA) 전자인증팀이 국내 공개키기반구조(PKI) 인증서 서비스 기술 업체들 의견을 수렴중이다. 또 KISA는 다음주 6개월(4~9월)간 예산 4천만원짜리 용역과제 ‘웹표준 기반 공인인증서비스 개발’ 공고를 낼 예정이다. 웹 크립토그래피 WG 활동 요구사항과 국내 서비스를 위해 필요한 부분에 대해 모질라 구현체에 코드를 공헌하는 내용이다. 과제 수행 결과를 두고 봐야겠지만 이를 완수하는 것만으로 모든 장벽을 걷어낼 수는 없을 듯하다.

향후 액티브X를 대신할 정도의 기술적 진전이 이뤄져도 몇가지 문제가 남는다. 이에 대해 윤석찬 리더는 ▲브라우저가 인증서를 다루는 표준 방식과 맞지 않게 사용자가 공인인증서 비밀키를 암호화고 그 저장경로를 노출시키는 국내 체계 ▲표준화 이후 웹기반 서비스에 대한 외부 공격 시나리오 대응 ▲인증서 탈취 대응책으로 제기됐던 국내 보안 토큰 사용 필요성 ▲일회용비밀번호(OTP) 등 오프라인 인증수단을 요구하는 상황이 불분명한 국내 보안 정책, 4가지를 꼽았다.