이민화 카이스트 초빙교수
주목할 현상은 전 세계 해커들이 한국을 주요 경유지로 활용하고 있다는 것이다. 한국인터넷진흥원(KISA)에 따르면 전 세계 악성코드의 70%가 한국을 경유하고 있다. 그렇다면 왜 한국이 악성코드 국가라는 불명예를 얻게 되었는가 진지하게 반문해 보아야 한다. 인터넷 보급률과 전자금융 이용률이 높은 것은 이유가 아니다. 문제의 본질은 인터넷 보안 불감증이 높다는 것과 보안 레벨이 낮은 운영체제(OS)와 브라우저 사용이 많다는 것이다.
그런데 이 두 가지 문제는 한 가지 원인에서 비롯된다. 바로 보안에 너무나 취약한 액티브X 기반의 전자금융 제도이다. 공인인증서에 기반한 한국의 전자금융 제도는 ‘묻지마 다운로드’를 국민들에게 인지시켰다. ‘설치하시겠습니까?’라는 질문이 나오면 우리는 무조건 ‘yes’ 하도록 길들여졌다. 각종 보안 모듈들을 심기 위하여 다른 나라에서는 상상하기 어려운 전 직원 관리자 모드 사용이 일반화됐다. 보안 레벨이 높아진 상위 OS나 브라우저에서 제한된 액티브X 사용을 풀기 위해 일부러 보안 레벨을 낮추고 브라우저도 다운그레이드하는 웃지 못할 일이 벌어진다.
결과적으로 한국의 인터넷 환경은 악성코드를 심는 데 최적의 조건을 제공하게 된 것이다. 당연히 전 세계 해커들은 악성코드를 심어야 가능한 각종 피싱과 파밍의 시험무대로 한국을 활용하게 됐다. 작년에만도 인터넷 사기는 재작년의 두 배 가까운 8만 5000건을 넘어서고 있다. 이제는 분명히 인정해야 한다. 한국이 전 세계에서 가장 악성코드를 설치하기 쉬운 나라가 되었고, 너무나 광범위하게 남용된 액티브 X 기반의 공인인증서가 그 바이러스의 숙주라는 것을.
스티브 잡스가 애플의 차기 제품에서 자바 애플릿을 포함한 모든 플러그인 설치를 없애려 한 이유와 마이크로소프트가 액티브X를 보안 목적에 쓰지 않도록 경고하고 윈도8과 IE11에서는 원칙적으로 이를 지원하지 않는 이유를 당국은 이해해야 할 것이다. 액티브X를 악용한 악성코드 유입이 만병의 근원인 것이다.
다음은 서버 인증을 제대로 하지 않는 전자금융 제도에 있다. 가짜 사이트로 유도하는 피싱과 파밍의 확산은 서버 인증을 하지 않는 한국 제도의 허점을 해커들이 최대한 악용한 것이다. 전 세계는 표준적으로 금융기관의 서버를 우선 인증하는 것을 보안의 시작으로 한다. 그런데 우리는 가입자 인증에만 목을 맨다. 피싱과 파밍 피해를 초래한 책임을 면하기 어렵다.
데이터 통신과 저장 단계에서 암호화는 너무나 상식적인 보안의 기본이다. 그런데 우리는 통신 암호화는 물론 저장 단계에서도 암호화 하지 않아 초대형 개인정보 유출 사고가 터진 것이다. 보안은 형식적 규제가 아니라 확실한 책임과 권한의 명확성으로 유지되는 것이다. 이번 카드 사태와 같이 한 명이 전체 자료에 접근하는 것은 서버 관리의 기본을 위배한 것이다.
문제의 본질이 파악되면 임시방편적 대안이 아니라 근원적 처방이 가능해진다. 단계적으로 공인인증서 기반의 획일적인 전자금융 제도를 다양화해야 한다. 이미 2010년 기업호민관실과 합의해 설립한 인증방법평가위원회가 4년간 실질적으로 개점 휴업한 것은 분명히 당국이 책임져야 한다.
전자금융에 대한 국제 협약인 바젤협약은 분명한 원칙을 제시한다. ‘기술의 진보에 대응하기 위하여 당국이 하나의 제도를 강요해서는 안 되고, 생체인증과 OTP(일회성 비밀번호), 보안토큰 등 각종 기술을 반드시 금융기관이 결정하도록 해야 한다’는 것이다. 다양한 보안기술들이 금융기관의 책임하에 활용돼야 한다는 것이다.
정부의 잘못된 규제를 원칙으로 되돌리자. 비정상의 정상화를 이제라도 시작해야 한다.
2014-02-15 26면
