[테크M=글  김기영 플라이하이 대표]

특정 전문분야에서 쓰이는 기술 용어가 일반인들에게도 널리 알려지는 일이 종종 있다. 보안용 인증 기술도 그중 하나다. 스마트폰 확산과 함께 일상생활에서 수시로 체험하게 되면서 인증 기술은 일반에 더욱 친숙한 존재가 됐다. 패턴인증, 지문인증과 같은 용어도 일반 사용자들에게 어색하지 않은 시대다.

필자의 경우 인증 분야에서 오랫동안 일하다 보니 “이 인증 기술은 성공 가능성이 있느냐?”고 묻는 이들을 종종 만난다. 결론부터 말하면 성공한 인증 기술의 반열에 오르는 것이 쉬운 일은 아니다. 물론 대부분의 인증 기술은 그 자체로 쓸모가 있다. 그러나 특정 상황에서 적합한지에 대한 문제로 넘어가면 얘기가 달라진다. 잠재력 있는 인증 기술이라도 어떤 상황에선 애물단지가 될 수 있다.

서비스 개인화를 위한 용도로 사용한다면 인증 기술의 편리함과 비용만 고려하면 될 것이다. 그러나 인터넷뱅킹과 같은 보안을 중요시하는 분야에 인증기술을 사용하고자 한다면, 모든 것의 출발은 보안에서 시작되어야 한다. 편의성만으로는 시장에서 자리를 잡을 수 없다.

어렵다고 좋은 기술은 아니다

보안의 3요소는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)인데 이중 핵심은 기밀성이다.
기밀성은 정보에 대한 접근을 제한하거나 제약을 두고 특정 조건을 만족시키는 접근만 허용하는 것이라고 할 수 있다. 그 특정 조건을 만족시키는 것, 즉 접근하는 사람이나 사물이 허용된 것임을 확인하는 것이 바로 인증(Authentication)이다.

사람이 통신선을 타고 상대편에게 건너갈 수 없는 상황에서 내가 그 사람임을 입증하는 것은 쉬운 일이 아니다. 이미 기존에 그 사람을 속속들이 매우 잘 알고 있는 사람이 있지 않는 이상, 사람이 건너간다고 해도 쉽지 않을 수 있다.

이같은 문제를 해결하기 위해 사전에 여러 약속들을 정할 수 있다. 예를 들어, 패스워드처럼 그 사람만이 아는 정보나, 그 사람만이 갖고있는 키, 그 사람의 신체적인 특징정보 등이다. 그 사람의 고유한 행동을 반영한 특징으로 판단하거나, 심지어는 정황상 그 사람이라고 판단할 수도 있다. 이러한 인증을 위한 정보들이 정상적으로 생성, 전달, 판단되고 관리되면 좋을 텐데 지금까지 그렇지 못한 것이 현실이다.

국내외 가리지 않고 끊임없이 들려오는 사용자 계정 데이터베이스(DB) 유출 사건을 예로 들어보자. 사고를 당한 쪽에서는 해쉬를 통해 보호하고 있다고 얘기하지만 며칠 지나지 않아 유출된 계정이 사용되는 뉴스들을 봤을 것이다. 키로깅에 초점이 맞춰진 악성코드들도 많다. 요즘은 보안 때문에 필요하다는 이유로 익명의 HTTPS를 풀어 보는 보안제품까지 많이 나오다보니, 패스워드로 중요한 정보를 지키기는 어렵다는 판단이다.

동일한 패스워드이기는 하지만 휴대폰 잠금처럼 통신방식이 아니며 그 시도 횟수가 제한된 경우에는 애플의 협조를 받지 못한 FBI가 그랬듯이 뚫기에 매우 어려운 방식이 될 수도 있다.

우리가 쉽게 오해하는 것은 어려운 기술이 좋은 기술이라고 판단하는 것이다. 홍채인증은 분명 어려운 기술이지만 우리는 얼마 전에 인물사진을 통해 우회가 가능하다는 것을 확인했다. 그 후로 보완했다 하지만  공격방식을 발전시키면 그렇게 뚫기 어렵다고 판단되지 않는다.

지문의 경우, 국내에서는 불법 수당을 받기위한 공무원들의 대리인증 수단으로 자리를 잡기도 했다. 안면인식도 비슷한 방식이기에 추가적인 언급은 생략한다. 그 외에도 타이핑, 필기, 목소리, 걸음걸이와 같은 방식들이 범람하듯이 출현하고 있는데 앞의 기술들과 크게 다르지 않다.

이러한 이유로 한가지의 인증기술로 모든 것을 판단할 수 없도록 하는 경우가 많다. 이미 어렵지 않게 뚫리는 기술들을 나열한다고 획기적으로 강해지지는 않을 것이다. 결국 어떻게 섞어 쓰느냐가 매우 중요하다. 이러한 고민에 실마리를 던져준 방식이 바로 FIDO(Fast IDentity Online)이다.

“FIOD란 아이디, 비밀번호 방식 대신 지문, 홍채, 얼굴인식, 목소리, 정맥 등을 활용한 새로운 인증 시스템이다.  기존 생체 인증에서 단점으로 지적된 안정성과 관련해 인증 프로토콜과 인증수단을 분리해 보안과 편리성을 모두 잡는데 초점이 맞춰져 있다.

FIDO는 크게 3가지 요소로 나눠진다. 보유한 단말에 대한 사용자 인증, 안전한 인증정보 관리, 서버에 대한 공개키 방식의 인증이다. 서버에 대해 인증하기 위한 공개키 방식의 키 값이 다른 장치에 없으며, 사용자의 단말에 대한 인증도 다른 사용자가 할 수 없다는 전제 아래 이뤄진다.

이는 여러 가지 인증을 서버에 행하는 방식이 아니라 여러 인증을 절차적으로 수행함으로써 전체적인 인증의 완성도를 높였다고 할 수 있다. 그리고 이 방식은 논란이 많은 생체정보를 서버에 저장하지 않고도 생체 기반 인증을 사용하는 방식을 보여주었기에 매우 의미가 크다. 그러나 이 기술이 보안 전반에 기여할 수 있다고 할 수는 없다. 그 기술 자체가 일회적인 행위의 인증을 위한 기술이기 때문이다. 즉 추가로 오고가는 정보까지 보호하는 것은 아니다.

개인 인증 수단에 대한 관리도 중요

결국 인증기술을 보안에 대한 기여의 면에서 다시 바라볼 필요가 있다. 인증에 대한 핵심 질문은 “그 인증기술 때문에 보안이 좀 나아졌습니까?”가 되어야 한다. 인터넷 상에서 정보는 HTTPS와 같은 암호화를 통해 이뤄진다. HTTPS에 기반한다고 보안이 담보되는 것은 아니다. HTTPS를 통하는 채널 자체를 믿을 수 있어야 신뢰를 확보할 수 있다. 즉 클라이언트는 서버가 누군지 알고, 서버도 클라이언트가 누군지 아는 상태에서 채널이 맺어져야 한다는 얘기다.

현실은 그렇지 않다. 우리가 평상시에 사용하는 HTTPS는 클라이어트만이 서버를 인증하고 서버는 클라이언트를 인증하지 않은 상태에서 맺어지고 있다. 서버가 100% 신뢰할 수 있다고 담보하기 힘든 구조다. 채널이 안전하다는 것을 믿을 수 없으면 채널에서 오고가는 정보도 마찬가지다. 중간에 가로채기를 당할 가능성을 배제할 수 없다.

이같은 상황에서 보안 수단으로 2채널 기반 인증이 널리 활용되고 있지만 그렇다고 해도 채널을 오고가는 정보가 안전하게 유지된다는 보장은 없다.

가장 좋은 방법은 상호 인증하는 안전한 채널을 생성하고 그 위에 추가적인 인증을 하거나 성격이 다른 채널을 이용해 인증을 수행하는 것이다. 서버와 클라이언트 사이의 채널 자체를 안전하게 한 뒤, 2채널 인증을 적용하는 것이 중요하다.

여기서 우리가 흔히 간과하는 것이 있다. 신뢰할 수 있는 채널을 만드는 과정에서 서버에서의 클라이언트 인증만을 중요시하는데 사실 그보다 중요한 것이 바로 클라이언트에서의 서버 인증이다. 즉 ‘내가 올바른 서버에 접속을 하고 있는 것인가?’가 중요하다.

원래 다 하는 것 아니냐고 물을 수 있지만 지난해 점검해본 결과 서버를 제대로 인증하는 경우가 거의 없었다. 매우 어려운 공격법에 대해서는 취약점 점검을 하기도 하는데 기본적이면서 효과적인 공격 방법들에 대해서는 거의 방치된 상황이다.

인증보다 중요한 것은 인증을 계속해서 관리하는 것이다. HTTPS와 관련해서는 오래전부터 인증기관이 기업 확인과 신용정보, 신뢰도 검증 후 발급하는 EVSSL 인증서가 등장했지만 최근에는 몇몇 브라우저에서 특정 인증기관(CA)에서 발급한 인증서를 신뢰하지 않게 됐다. 관리 부실에 따른 결과다.

같은 맥락으로 최근 클라이언트 인증은 휴대폰, 일회용비밀번호(OTP)와 같은 토큰이 사용자를 인증하는 중요 수단이 돼가고 있다. 서버인증과 관련된 서버인증서 관리가 엄격해지고 있듯이 개인을 인증하는 인증수단들에 대한 관리도 잘 이루어 져야 한다. 이에 대해 어떤 이들은 보안을 개인에게 떠넘긴다 하지만 개인의 인감도장, 신분증, 휴대폰, OTP, 인증서 등은 함부로 남에게 맡길 물건들이 아니며 믿고 맡겼으면 그 이후의 일에 대해서는 책임도 져야 한다. 혹시 분실하면 빨리 신고하는 것이 자신의 신용과 재산을 지킬 수 있는 유일한 방법임을 명심해야 한다.

이러한 이유로 우리 스스로 수시로 유출하고 있으며, 한번 유출되면 회수가 불가한 생체정보의 사용 방식에 대해서는 고민에 고민이 필요하다. 인증은 얼마나 정확하게 식별하느냐도 중요하지만 그 생성, 사용, 보관, 검증 등도 매우 중요함을 잊지 말아야 한다. 좋은 인증수단은 이중 어느 한 가지도 빠지지 않거나 구애받지 않는 것이다.

<본 기사는 테크M 제55호(2017년 11월) 기사입니다>