실시간 뉴스



[김기창의 오픈웹]전자금융 보안정책의 문제점


90년대 말, 한국의 전자금융거래는 그 당시로는 비교적 선진적이었는지 모르겠다. 하지만 10년이 지난 지금 전자금융거래는 온갖 문제점을 안고 있는 서비스로 전락했다고 생각한다. 전자금융거래에서 중요하게 부각되는 보안과 관련된 문제점을 몇 가지 지적하면 다음과 같다.

전자금융거래에 보안이 요구되는 것은 당연하지만, 보안은 고객과 웹서버 양자에게 요구되는 것이다. 현행 전자금융거래는 공격자가 오로지 고객의 지위에서만 악의적 거래를 시도하거나, 고객의 컴퓨터를 장악하는 방법으로만 정보를 유출시킨다는 것을 전제하고, 금융거래 고객들에게 여러 보안 조치를 강요하고 있다.

정작 금융거래 웹사이트인 것처럼 정체를 가장하고 고객을 유인하는 웹사이트에 대한 대비책은 전혀 없다. 금융거래를 제공하는 웹사이트의 정체를 서버인증서(SSL 인증서)나 사이트키(Sitekey)로 확인할 수 있도록 하는 곳이 거의 없으므로, 가짜 사이트(피싱 사이트)가 고객을 유인해 개인정보를 대량으로 손쉽게 입수할 위험성에 무방비로 노출돼 있는 것이다.

전자금융거래를 http 채널로 마구 수행하는 행태가 우리처럼 광범위하게 퍼져있는 곳도 찾기 어렵다. '보안전문가'임을 자칭하는 일부 인사들은 인증용 플러그인이 PKI 기반의 암호화를 별도로 수행하고 있으므로, 비록 교신채널은 안전하지 않더라도, 그 채널로 전달되는 메시지 자체가 암호화돼 있으니 별 문제가 없다고 주장한다.

하지만 이 주장은 옹색하기 그지 없다. 금융 고객과 웹서버 간에 오고가는 모든 정보가 인증용 플러그인에 의해 PKI 방식으로 암호화돼 전달되도록 하는 은행 사이트들은 거의 없다. 전자서명된 메시지만 암호화돼 전달되고, 서명이 필요없는 계좌 내역 등은 clear text로 오가는 경우가 많다.

더 심각한 문제는 금융사이트와 고객 간에 오고가는 정보가 과연 암호화돼 안전하게 전달되는지 여부를 고객이 미리 판단할 방법을 전혀 제공하지 않고 있다는 점이다.

SSL 접속으로 금융거래가 이뤄진다면, 고객은 웹브라우저의 주소창을 확인하기만 하면, 자신이 지금 안전한 채널로 교신하는지(https), 위험한 채널(http)로 교신하는지를 당장 판단할 수 있다. 누구나 가로채서 교신 내용을 읽어볼 수 있는 http 채널로 모든 거래를 수행하면서, 필요한 경우에만 별도로 암호화를 해 줄테니 고객은 웹사이트를 무조건 믿고 모든 정보를 인터넷으로 그냥 내보내도록 요구하는 국내 금융사이트들의 보안 설계를 과연 누가 했는지 궁금할 따름이다.

국내 은행사이트가 보여주는 가장 심각한 보안의 무지는 공인인증서와 관련된 것이다.

PKI 기반의 인증서는 거래 당사자의 신원을 확인하고, 거래 내역의 위조, 변조에 대처할 수 있는 훌륭한 기술이긴 하지만, 이 기술이 보안목적을 달성하려면, 신뢰관계가 형성되는 전체 구조(chain of trust) 자체가 논리적으로 안전하게 구축돼야 한다. 국내 금융사이트들은 바로 이 점에서 완벽한 실패와 기술적, 논리적 오류를 저지르고 있다.

국내 금융사이트에 접속해 금융거래를 수행하려면, 처음 단계에서 웹사이트가 제시하는 어떤 소프트웨어(인증용 플러그인)를 믿고 설치하도록 강요당한다. 그러나 고객에게는 이 소프트웨어를 믿어도 될지를 판단하는데 필요한 정보가 제공되지 않는다. 그저 그 웹사이트 및 웹사이트가 설치하도록 요구하는 소프트웨어를 믿고, 그 소프트웨어가 안전할 것이라는 점도 믿고, 무조건 '확인(OK)' 버튼을 눌러 설치하라는 것이다. 무조건 믿으라고 강요할 바에야, 무엇 때문에 보안조치를 거론하는지 의문이 아닐 수 없다.

웹사이트가 이처럼 부가 프로그램 설치를 요구하면, 고객의 웹브라우저는 보안 경고창을 띄워 '…가 서명하고 배포한 이 소프트웨어를 설치하시겠습니까?' 라고 묻게 된다. 이 상황은 이제 국내 사용자들에게는 '지겹도록' 익숙하게 됐다. 흔히 영어로 난삽하게 적혀 있는 배포자의 명칭을 일반 사용자들이 아무리 꼼꼼히 읽어본들 그자가 누구인지도 모르고, 연락처도 없고, 무슨 의미인지도 모를 뿐 아니라, 그 동안 워낙 여러차례 이런 상황에서 프로그램을 설치하도록 강요돼 왔기 때문에 국내 이용자들은 이제 한 순간의 고민도 없이 '확인'을 눌러 프로그램을 무조건 설치하도록 훈련돼 있다.

보안을 위한답시고 공인인증서 이용을 강제해 놓고, 공인인증체계 신뢰성의 기술적, 논리적 시작점에 해당하는 루트인증서에 대한 신뢰성 여부 판단을 고객이 실제로 하기는커녕, 금융기관 웹사이트(그것도 SSL 인증서 조차 제시하지 않는, 잠재적으로 매우 위험한 웹사이트)가 제시하는, '듣도 보도 못한' 프로그램을 '무조건' 믿는 방식으로 신뢰의 첫 고리가 형성되도록 해 둔 현재의 국내 은행 사이트들의 공인인증 신뢰체제 구축 방식은 쓴 웃음을 자아낼 따름이다.

일반 고객들은 아무도 눈치채지 못했겠지만, 현재 국내 금융기관들이 고객에게 마구잡이로 설치를 강요하는 인증용 플러그인을 고객이 설치하고 나면, 그 속에는 온갖 정체불명의 자기서명 인증서(self-signed certificates)가 실려있고, 고객의 컴퓨터는 이들 모두를 무조건 신뢰하도록 돼있다. 한마디로 금융기관들은 전자금융고객들의 '신뢰'를 몰래 훔치고 있는 것이다.

전자거래의 보안이 마치 '부가 프로그램만 설치하면' 확보되는 듯 착각하고, 고객으로 하여금 웹서버가 설치를 요구하는 부가 프로그램을 무조건 믿고 설치하도록 강요하는 현재의 보안 정책은 잘못돼도 한참 잘못된 것이다.

전자거래의 보안은 웹서버가 고객에게 설치를 요구하는 부가 프로그램을 무조건 믿는데서 출발하는 것이 아니라, 무조건 믿지 않는 습관을 고객들에게 길러주는데서 시작해야 한다. 키보드 해킹방지니, 개인 방화벽이니 하는 온갖 부가 프로그램을 거듭해서 추가로 설치하도록 요구하고, 이런 프로그램을 많이 설치할수록 보안이 더 충실히 확보될 것이라고 믿는 금융감독 당국의 어처구니 없는 오류는 당국자가 보안 기술에 무지하다는 이유만으로 용서될 성질의 것은 아니다.

부가 프로그램을 자꾸 설치함으로써 보안 위험에 효과적으로 대처할 수 있다면, 세계 모든 국가들이 한국과 같이 부가 프로그램 설치를 거듭 장려했을 것이다. 그러나 실상은 정반대이다. 서구 각국의 경우, 이용자들에게 거듭 촉구, 계몽, 권장하는 내용은, 운영체제와 웹브라우저 소프트웨어를 제때 업데이트 할 것, 그리고 인터넷 거래 중 웹서버가 설치를 요구하는 프로그램은 원칙적으로 믿지도 말고, 설치하지도 말라는 것이다.

공인인증서 사용이 법으로 강제되므로, 공인인증용 플러그인을 추가로 설치하지 않을 수 없게 된 것은 맞다. 그러나, 법에 규정된대로 공인인증기관이 그 소프트웨어를 일괄 제공하고 모든 웹서버들이 이용할 수 있도록 하면, 고객은 공인인증서를 발급받을 때 (제대로 신뢰 여부를 판단하고) 단 한번 설치한 공인인증용 소프트웨어를 모든 웹서버들과의 거래에서도 사용할 수 있게 된다.

따라서, 온갖 금융기관이 제각각 별도로 고객들에게 정체불명의 기관 인증서들이 잔뜩 탑재된 인증용 플러그인을 거듭해서 설치하도록 요구하고, 그 요구에 시달릴대로 시달린 고객은 웹서버가 설치를 요구하는 프로그램을 무조건 마구 설치하는 위험천만한 지금과 같은 상황은 아예 생기지 않았을 것이다.

법률도 모르고, 전자거래 보안의 논리적, 원론적 기초도 모른 채, 그저 보안 프로그램을 많이 설치하면 좋은 줄 생각하는 딱한 수준의 인력이 한국의 전자금융거래 보안의 책임자 행세를 하며 행정권력을 마구 휘두르는 현재의 상황은 암울하기 그지 없다.

/김기창 고려대 법대 교수 column_keechang@inews24.com







alert

댓글 쓰기 제목 [김기창의 오픈웹]전자금융 보안정책의 문제점

댓글-

첫 번째 댓글을 작성해 보세요.

로딩중
포토뉴스