9시 50분께 토론회가 끝나고 나서도 댓글이 달리네요. 라이브블로깅은 끝났지만 댓글은 열어둡니다.

긴 시간 지켜봐 주시고 의견 남겨 주신 모든 분들께 감사드립니다.

(끝입니다!)

(사회자) 끝장 토론하려고 한 게 잘못한 것 같습니다. 오늘 진행하며, 취지를 말하겠습니다. 320 사태일 때 은행 PC까지 악성코드가 들어갔고 하드디스크까지 지웠습니다. 그 악성코드가 원장에 들어갔으면 우리 금융 인프라 끝납니다.

근본적인 대안이 나와줘야 하고요, 이제 은행이 이 정도 리스크를 솔루션에 의존할 수 있느냐에 대한 근본적인 고민에 빠지게 됩니다. 이런 환경에서 금융보안연구센터가 만들어졌고요. 우리가 할 수 있는 걸 찾아가며 토론을 계속하고 싶습니다.

우리 보안하는 분들 애환을 여러분들, 많이 느끼셨을 겁니다. 쉬지 않고 이해하고 협업하려는 노력을 지속하려는 계기가 됐길 바랍니다.

(박성기) 김기창 교수가 공인인증서 폐지 서명을 아고라에서 받은 일이 있습니다.

(플로어에서 처음 발언하신 분이 이 말에 바로 반박했습니다)

(김대영) 그런데 마치 위대한 수령님, 얘기를 하는 것 같네. 그 문안을 마련한 사람이 누구에요? KISA가 아닌가?

(여러분이 들어도 좀 과했죠?)

(KISA 직원 분입니다. 부서 명은 못 들었습니다.)

개정안 내용을 보면 정부의 역할이 없습니다. 민간 부문을 자율에 맡깁니다. 민간에서 그런 체계가 잘 돌아갈 환경이 만들어지고 자생이 되면 그 부분도 좋은 솔루션이 될 수 있습니다. 우리나라가 현재 그런 영역이 성숙했느냐는 논란이 되는 부분입니다.

박근혜 대통령의 공약은 ‘글로벌 환경에 맞는 다양한 공인인증서비스 허용’입니다. 공인인증서비스를 허용하라고 했습니다. 제가 왜 이걸 기억하느냐면 제가 담당하는 거기 때문에 이 공약이 채택되면 우리가 어떻게 해야하는지 몇 개월 고민했습니다.

박근혜 대통령 말씀하신 내용이 굉장히 짧으면서도 많은 내요을 담고 있습니다. 수식어로, 현재 문제가 많으니 글로벌 환경에 맞도록 해라, 입니다. 또 하나의 문제가 ‘다양한’입니다. 정부가 손 놓고 아무것도 하지 말라는 얘기가 아닙니다.

전자서명법 개정안을 보면 미래부가 해야할 일이 무엇인지 모르겠습니다.

(이종걸 의원실 보좌관) 제도를 폐지하자는 거지 공인인증서를 폐지하자는 거 아닙니다. 시장이 평가하기도 전에 보안 업체에서 자꾸만 공인인증서를 폐지하는 거기 때문에 법을 개정하면 안 된다고 주장하면 안 된다고 봅니다.

(이종걸 의원실 보좌관)

최재천 의원실에서 발의한 법안이나 이종걸 의원실에서 발의한 법안 어디에도 공인인증서 폐지한다는 내용 없습니다. 오늘 왜 자꾸 공인인증서를 자꾸 논의하시는지, 공인인증서 폐지하자는 게 전혀 아닙니다. 공인인증서 외에 다른 새로운 보안 기술을 은행이 스스로 판단해서 그 보안 기술이 안전하다고 판단하면 그 보안 기술을 채택하게 하자는 겁니다.

공인인증서를 강조하는 쪽에서는 공인인증서 외에 다른 보안 기술을 채택하면 안 된다는 말로 이해합니다. 제가 잘못 이해했는지 모르겠습니다만.

(이동산) 지금 공인인증서를 이용하는 운영 환경에 개선이 필요하다는 거에 다 공감한다고 생각합니다. 제안의 중요 내용은 이용자 선택권을 줘야 한다. 이용자가 원하면 다른 대안 기술을 선택하게 한다는 데 중요한 의미가 있다고 생각합니다.

이용자 선택권을 주는 게 공인인증기관을 없애자는 건 아닐 겁니다. 다양한 대안이 이용자가 선택할 요소로 가져오자는 거죠. 보안성에 대해서 제3자가 충분하게 보안성을 검토하여 대안이 사용될 환경을 만들자,라고 제 얘기를 정리하겠습니다.

(김대영) 지금 거의 6시간을 했는데 마지막에 말씀하시는 걸 보니까, 끝장토론인 줄 알았는데, 저쪽에서 절 어떻게 생각할지 모르겠지만, 그렇게 얘기를 듣고도 한치도 안 변하는 걸 보고 놀라지 않을 수 없고요.

토론은 현재, 2013년 현재 상태를 갖고 얘기를 하자고요. 지난 10년 어떻게 왔고가 아니라. 그렇게 얘기가 되면 좋겠고요. 배대헌 교수님이 전자서명법 개정안을 가지고 얘기하자고 했는데요. 제가 읽어본 문구에 의하면 ‘공인’자를 뺀 것인 공인인증서로 대표되는 pki를 사용하지 말라는 것이 아니고 그것을 포함한 다른 기술을 수용해달라는 것으로 이해했습니다.

그래서 아까 십년 전 또는 육년 전 김기창 교수가 법하는 분이죠, 기술을 잘 몰라서 많이 알기 전 말 실수할 수 있고, 신문에는 김기창 교수가 아닌 다른 사람이 전하다가 보니까 말이 와전이 되서 공인인증서 폐지란 얘기가 기록됐는지 모르겠습니다.

김기창 교수의 입장은 공인인증서 폐지가 아닙니다. 그렇다면 문구를 그렇게 안 썼죠. 현재 시점에서 문구도, 김기창 교수의 입장도 그렇지 않습니다.

루트 CA를 하나 더 만들면 옥상옥이 아니냐고 하는데요. 수평적인 조직을 만들자는 겁니다.

아까 KISA 분이 글로벌이지만, 글로벌 공인인증서에서 ‘공인’을 강조하시는데. 만약 그럼 한국만 공인이에요. 세계적으로 공인이 안 돼요. 충남대가 KISA거 인증서를 구축했어요. 크롬이나 사파리 들어가면 물어봅니다. (웹브라우저가 KISA의 공인인증서를 인정하지 않고 경고창을 띄운다는 거죠.) 파이어폭스는 더해요. 제가 충남대에 앉았는데 들어가지도 않아요. 글로벌리 인증되는 체계에서 인증한 게 아니라 유저가 리스크를 감안하고 진행하다 안 될까봐 아예 진행을 안 해요. 그게 소위 글로벌 공인이에요.

우리가 말을 할 때 정부가 도장을 찍으면 안전하고 민간이 하면 의심해야 하고 하는데요. 다른 모든 것도 마찬가지에요. 정부는 체계를 갖추고 추인하는 기관 정도로 하면 돼요. 지금 보면 추인 정도가 아니라 첫 도장을 정부가 나서서 그리고 금융 같은 경우는 금감원이 도장을 찍고 말고 하는 건 체계가 잘못됐습니다.

(배대헌) 무엇이 진정 전자서명법에서 이해관계에서 합의를 도출해야 할 것인가요. 저는 인증기관에 속해 있지도 않고 정부에 속해 있지도 않고, 정부 연구기관에 속해 있지 않습니다. 전 소비자 쪽입니다. 소비자를 아무도 대변할 사람이 없습니다.

인증기관이 제대로 인증 업무를 수행하지 못하면 어떻게 할 것인가,의 문제는 세계 어디보다 한국이 강하게 규정했습니다. 불법 행위에 대한 책이은 과실 책임입니다. 과실을 주장하는 쪽에서 과실을 묻습니다. 그러기 때문에 원고가 입증하는 게 일반적인 내용입니다. 현행 전자서명법 인증기관 책임에 대해선 원고가 아니라 피고가 과실 없음을 입증해야 그 책임을 면하게 했습니다. 소비자를 보호하기 위해서입니다.

개정안에는 소비자와 이용자에 대한 내용이 없습니다. 인증기관 잘살겠다고 하거나, 새로운 업체 들어오겠다는 거나, 미래부의 창조경제 효과는 있을 수 있습니다. 소비자 보호가 지금보다 떨어지는 건 바람직하지 않습니다.

소비자를 보호하고 이용자를 보호하는 문제는 어떻게 할 것인가. 좀 더 그 부분에 관해서 명확하게 해야할 것 같습니다.

더는 이런 논란하지 말고 국회에서 공청회하든 토론회하든 입법기관이 수용 가능한 토론을 해야지, 이슈거리만 던지면 실효성이 없습니다.

전자서명법 전부 개정안을 얼마나 현실적으로 수용 가능한지 구체적으로 검토돼야 합니다.

(이종걸 의원실 보좌관이 발언합니다.

30만원 미만은 심의를 받지 않아도 되는데 페이게이트가 잘못 알고 있는 것 같다고요.

이동산 이사는 심사 받는 중에 규정이 바뀌었다고 하는군요.)

(김인석) 지금 그렇게 하는데 오해가 있는 것 같아요.

(김인석) 요즘 보안 심의 요청하면 얼마나 걸립니까? 제가 있을 때는 최대 1개월 이내 보안 심의 완료하는 걸로 했습니다. 그때 기술적인 걸 보는 게 아닙니다. 요구하는 조건을 맞추고 제대로 운영하는지 보니, 알고리즘의 기술적인 걸 보는 거 아니에요. 감독원은 그런 걸 볼 인력도 없고 기술도 없어요. 제도적인 틀에 맞는가를 봅니다.

(이동산) 국내의 전자금융감독규정이나 PINS나 국내 컴플라이언스와 어떻게 다른지 비교해봤습니다.

정리:

해외는 위원회가 민간에서 구성하고, 감사 결과를 민간에서 상호 검증하고, 감사 결과를 민간에서 생성하고, 결과를 다양한 데서 활용.

국내는 체크 리스트는 해외와 유사. 그것에 대한 평가와 심사하는 최종 주체는 금감원이나 KISA와 같은 관이다. 민간에서 굉장히 많은 수요가 있으면 소화를 못해낸다. 관이 다 수용을 못함.

(박성기) 클라우드 방식은 위험합니다.

(사회자) 11. 인증서의 저장위치에 대한 문제는 무엇이며 개선방안은 무엇인가?

이건 우리가 논의했으니 넘어가고…

(김인석 교수가 손 들었습니다)

(사회자) 그건 의견을 내신 걸로 듣겠습니다. 9번 애기는 이 정도로 정리하고요.

10. 인증수단의 다양화 방안은 어떤 것이 있는가?

(사회자) 지금 논점이 이렇게 가면 쳇바퀴 돌 수 있습니다. 표준의 개념을 정리해야겠습니다. 금융산업이란 것 자체가 본질이 리스크 산업입니다. 리스크 테이킹하는 방법을 정해야 하고요. 바젤 위원회에서 신용리스크나 시장리스크가 있다고 하면 BIS 비율을 정하죠.

새로운 기술을 채택했다고 하면, 그 기술에 1위 은행이 의존할 수 있을까요?

(시장의 논리이지, 기술 논리로 얘기하는 건 맞지 않다고 정리했습니다)

클라우드 관련해 아이디어를 드리면, 인증하는 수단이 지시 기반(이렇게 들렸습니다)이다 소유기반이다 하는데요. 인증서는 소유 기반으로 봅니다.

(제가 이해하기론, 클라우드는 지시기반이라 소유기반의 인증서를 클라우드로 하는 데에 맞지 않다, 라고 들었습니다.)

사실 1번에서부터 질문하고 싶은 부분인데요. 인증서를 쓰는 목적이 전자금융거래 아닙니까? 운영하는 분께 물어봅니다. 보안과 편리성 중 무엇이 중요합니까? 그럼 보안이 먼저죠 그럽니다.

그런데 표준웹이 국민이 만족할 만한 수준의, html5 보안 수준이 있는지. 많이 미흡합니다. 웹표준 환경에 굳이 대응을 해야하는지? 보안이 중요한데 웹표준을 주장하는 게 타당한지 묻고 싶습니다.

(이동산) 공인인증서에 대한 디펜던시를 줄이면서, 웹표준 환경으로 장기적으로 가고요. KISA와 얘기해보면 키가 공인인증기관 서버에 존재하는 경우에 대한 법률적, 기술적 검토와 어떻게 불러 쓸 것인가를 보면 불가능한 것 같지 않거든요. 클라우드에 저장하는 것이 npki 폴더와 같이 클라이언트에 저장하는 것보다 나을 것 같습니다.

(정리하면 개선 방안 1. 웹표준으로 간다. 2. 클라우드에 저장한다)

(사회자) 빨리 진행하겠습니다. 7번으로 가겠습니다.

7. 공인인증서 관련 산업의 규모와 우리 사회에 끼치는 영향과 편익은 긍정적인가? 부정적인가?

이건 사실 확인 차원에서 끝내겠습니다. (공인인증서 시장이 800억원 규모 얘기 등은 오늘 논의에서 쭉 나왔다고요..)

(사회자) 교수님, 제가 간단하게 정리하겠습니다. 금융 감독 구조는 전세계 동일한 구조로 존재합니다.

(김대영) 보안을 금감원에서 한다는 건 오늘 처음 알았네 (마이크 없이, 물을 마시며)

(이동산) 알라딘의 경우에는 이미 하고 있는 거에 대해서, 카드사가 동의하든 안 하든, 동작하는 형태로 서비스를 했습니다.

비인증이라는 전송 방식에 인증을 하는 건데. 카드사가 동의하지 않더라도 이미 구현했는데 보안성 절차를 가져야하는지 의문이 있는 거죠.

(사회자) 진입이 쉬우면 좋겠다,라는 부분이고요. 현대카드는 이민형 기자가 말한 듯이 확인한 것 같고요. 방식이 페이게이트가 원래 제안한 것과 달랐다는 거죠.

(이동산) 지금은 맞췄습니다.

(사회자) 카드사 입장도 분명히 있을 것 같은데요. 오늘 카드사가 오셨는데 곤란한 것 같습니다.

(사회자가 막았습니다.)

(사회자) 카드사가 이 자리에 있습니까?

(이민형 디지털데일리 기자: 액티브X를 쓰지 않으면 안전하지 않다고 해서 페이게이트가 팽 당한 겁니다. 페이게이트는 액티브X를 쓰지 않고 금액인증이라는 AA를 하고요. 프로파일 형태로 사용자 카드 정보를 가집니다. 그 인증 방법은 카드사가 얘기할 때는 자기가 원하는 방식이 아니라는 거죠. 그것 때문이지, 페이게이트 방식 자체가 보안성이 있다, 없다는 차치하고. 신용카드회사는 페이게이트 방식에 부담이 있고 프로파일 방식은 원하지 않는다고 했습니다)

지금 얘기하는 게 토론회랑 무슨 상관있나요?

(플로어에 있는 KISA 직원 분이 관련 없는 얘기로 토론의 방향성을 흐리는 것 같다고 이의를 제기했습니다)

(이동산) 민간에서 다양한 대안을 준비해서 이것이 시장에서 사용되면 자연스럽게 해결이 되는 사항이거든요. 민간에서 준비한 게 시장에 나오기 어려우면 경착륙이 될 수박에 없다고 생각합니다.

(이 기사를 참고하시면 어떨까요?
[그래픽] 알라딘 ‘간편결제’ 논란 일지http://www.bloter.net/archives/161116 )

(당사자인 이동산 페이게이트 이사가 전합니다)

(사회자) 이 문구는 PT에 있던 겁니다. 김인석 교수님의 열정과 노고 다 인정합니다.

우리 금융 자체의 IT 의존도가 한 달 전 파악한 걸론, 1위 은행의 트랜잭션 90% 이사이 ATM, 인터넷, 모바일에서 벌어집니다. 월 트래픽이 1억8천만 건이고요. 전자금융거래법이 이걸 규정하는데요.

그동안 김인석 교수님 어마하게 노력하신 거거든요. 나중에 나가실 때 박수 좀 쳐주시면..

(토론회 끝나고 정말 박수가 나올지 기대되는군요.)

(이동산) 1+1은 2가 나와야 하는데 다른 게 나오면, 개선해야 한다는 거지, 후진국이나 선진국을 나누려는 건 아닙니다.

(김대영) 김인석 교수님 걱정하는 거 알아요. 2002년 그때 상황을 보니까 전자정부를 빨리하려고 조급한, 그때 금융감독원과 정통부 사이 옥신간신했는데 그때 정통부가 잘못한 것 같아요. 우리가 말을 잘못하여 몽땅 다 뒤집어써 김인석 교수님이 관여해 책임이 있다고 절대 얘기한 적이 없고, 오해 말아주시기 바랍니다.

(사회자) 웹표준 변화를 우리가 주도하면 더 좋겠죠. 그렇게 하면서 발전해야 한다는 건 다 동의를 해주실 것 같습니다.

(아, 그사이 2. 3. 번 주제를 얘기했군요.

2. 액티브X는 이용자의 보안성을 낮추고 있는가? 그리고 공인인증서와 어떠한 관계가 있는가?
3. 액티브X의 개선방안은 무엇인가.)

4. 금융위원회가 공인인증서를 강제의무화했고 그 결과로서 보안후진국이 되었는가?

이 부분은 서로 인정, 서로 아울러 주시는 걸로 하면 좋을 것 같습니다. (사회자 직권이군요)

(흠, 이정현 연구원님은 얘기하시다가 다른 길로 자주 빠지는군요. 잠시 적기가 어려워 쉬웠더니 이번에도 ‘얘기가 다른 곳으로 흘렀는데..’라고 말씀하시네요. 그렇담 저는 얘기 초반이 집중해서 말씀하신 걸로 생각하겠습니다.)

(지금 상황은 어떻냐면요,

무대에 패널 5명과 사회자 1명, 청중에 김인석 교수 총 7명이 얘기하는 구도입니다. 그래서 마이크 없이 발언이 오가고 있어 모두 다 적지 못하고 있습니다.)

(박성기) 표준웹에 맞춰 가고 있습니다. 단지 기업이 적용을 안 했을 뿐입니다.

(박성기) 아까 IE를 선택한다는 건 일반적인 기업의 얘기를 한 겁니다. 공인인증기관이 먼저 선택한다는 건 아닙니다.

공인인증서 담당이 왜 나왔느냐? 여기 계신 분들 보면 제가 우리나라 공인인증 전문가 중 하나입니다. 우리나라 공인인증서 30만원부터 쓰는 것, 전부 제가 있을 때 한 일입니다. 그렇기 때문에 이 자리에 나올 자격이 있다고 생각합니다.

여기 계시는 김인석 교수님 당시 팀장님이었는데요. 당시 많이 싸웠습니다.

(마지막 얘기할 땐 말투가 포근해졌네요. 하하..라고 웃었습니다)

지금 박성기 부장님이 지금 현재 공인인증서 관련한 회사이지만, 그 일을 하지 않는다고 했는데 이 자리에 왜 나왔는지 모르겠습니다.

(이번에도 청중으로 마이크를 돌립니다)

(조금 전 말씀한 청중의 한 분도 박성기 부장에게 반발했습니다. 마이크없이, 팩트를 가지고 말하라!라고 말했습니다)

(박성기) 공인인증서 관련해서 말하겠습니다. 사실 도구로 보시면 됩니다. 공인인증 기관이 만드는 도구, 수단입니다. 이걸 어디에 쓸지는 정부와 기업의 선택입니다. 공인인증 기관은 무상으로 서비스합니까? 여기에 대해서 수수료를 받습니다. 실제 4천원부터 만원으로 다양한데요. 선택을 하는 건, 기업과 정부의 몫입니다.

오픈웹 환경에서 공인인증하는 것도 선택입니다. 공인인증기관이 강제할 게 아닙니다. 그런데 이런 모든 것들이 정부가 강제하기 때문에 못한다, 정부 때문이다, 정책 때문이다,라는 논리는 안 맞습니다.

기업은 이윤에 의해 움직입니다. 공인인증서 쓰는 기업이 IE를 쓴다면, 백만명의 오픈웹 사용자와 천만명의 IE 사용자 중 어디를 먼저 선택하겠습니까? 기업이 수익을 만들기 위해서 어디부터 선택하겠습니까.

지금 우리나라에서 오픈웹 환경에 있는 사람 거의 대부분 IE도 쓸 겁니다.

(사회자) 사실 이 정도까지 생각을 안 했는데 그동안 공인인증서 전자서명 관련해서 많은 논의가 있었는데 아직도 정리가 안 됐습니다. 이대로 9월 정기국회 가면 혼란, 많은 사회적 비용이 들 것 같습니다. 그래서 다 듣자, 원 풀이 정도는 아니지만, 정서적으로 다 해소하자, 그리고 기술적으로 인정해야 할 것은 인정하고 나머지 정책적 대안만 가지고 국회로 가는 게 맞지 않겠냐, 그게 우리의 역할이 아니겠느냐가 취지였습니다.

그래서 패널의 말을 끊지 않았습니다. 그래서 끝장토론으로 했고요.

(아, 얘기가 이거네요. 사기업에서 두 분이 나온 게 맞지 않다는 얘기였군요.)

말씀하시는 게 절도가 있으면 좋겠어요. 여기가 여의도 깡패가 아니고. 캄다운하시고.

공인인증 문제도 얘기하셨고, 영미법이냐 유럽법이냐 말했는데 여기에 관련해서 말할게요.

(전자세금계산서에 관한 거 만들 때)

인증서 만들 때 다 독같은데 국세청 인증서는 만원이에요. 이게 기업이냐? 사기업이지. 국가 주도 체제가 시장 주도 체제가 아니에요. 반성해야 하고. 영미 체계이냐 유럽체계이냐, 결론이 나왔어요. 시장이 영미 체계로 가고 있어요. 공인이라는 건 법적 근거 없어도 됩니다. 그리고 너무 아시는 척 하지 마세요. 자기가 똑똑하니까 남들은 무식하다는 패널 토론 없으면 좋겠습니다. 이경호 교수님 평소 좋아하는데 오늘 패널에 불만이 많습니다.

(사회자) 제가 정리하겠습니다. 전자서명법 개정안에 대한 얘기고요. 변화가 필요하다는 데 동의하셨고요. 그런데 영미법으로 다 오픈하는 방식이 있고 유럽처럼 국가가 하는 게 있는 겁니다. 이 두 가지 방식 중에서 어떤 게 됐으면 하는지에 대한 의견으로 정리하겠습니다.

왜냐하면 뭐가 맞다라는 게 아닙니다. 플로어 발언권 드리겠습니다.

(박성기) KISA가 자율 경쟁하라고 하는데요. 정부 기관이 민간 기관과 자율 경쟁하라는 겁니까?

(이정현) 제가 세계 입법 조류에 대해서 말씀 드렸잖아요. 국내도 입법 정책상 문제 없습니다. 김대영 교수가 말한 대로 해도 됩니다. 하지만 우리나라에서 다양한 인증서가 있고 특정 분야는 공인인증서를 쓰면 된다고 했는데요. 그럼 공인은 누가 하나요? 법에 근거하지 않고 어느 기관이 공인인증을 하나요?

(박성기) 그렇지 않습니다. 전자서명법 개정안 공인인증서에 대한 이 내용이 삭제돼 있습니다. 법을 발의한 최재천 의원이 신문에 기고하고 블로그에 공인인증서 폐지를 위한 전자서명법 개정안이라고 했습니다.

(박성기) 김대영 교수님은 공인인증서 폐지하자는 거 맞지요?

(사회자) 김대영 교수쪽에서 불편하고, 법이 어떻게 가든지간에 이용자 입장에서 말해주셨습니다. 그게 다 전자서명에 관련한 게 아닐 수 있으나, 크로스 브라우징, 개방성 문제를 얘기해줬습니다. 오늘 최재천 의원족에 오늘 얘기를 전달하려고 합니다.

(아, 제가 좀 놓쳤는데요. 배대헌 교수의 지적에 너무 무자르듯이 자르지 말고 이용자 처지에서 불편한 문제이니 같이 논의하는 게 꼭 나쁜 건 아니라고 얘기하는 것 같습니다.)

(배대헌) 전자금융거래법에서 전자서명등의 공인인증서에 관련한 내용을 3조에 규정하고 있는 혹은 2조 정의 규정을 따다 쓸 건 별도 얘기입니다. 전자서명법을 어떻게 개정할 것인가란 얘기가 구체적으로 검토를 해야하는데.

우리는 pki 시스템에 의해서 전자서명 관련한 게 있고, 이걸 공인인증서도 쓰니 얘기를 꺼냅니다. 정작 전자서명법을 어떻게 개정할 것인가, 지난 6월 논의한 전자서명법 전부 개정안을 전혀 논의하지 못하고 있습니다.

공인인증서가 옳으니, 그르니하면 이밤 보냅니다. 전자서명법 개정이 올바르게 가기 위한 것의 논의는 어떻게 할 것인가에 초점이 맞춰져야 합니다.

전자금융거래법은 전자서명을 근간으로 한 내용을 개별법이 채용해 어떻게 할 것인가의 얘기입니다. 전자서명법은 구체적인 기반에 관련한 내용이어서 이것이 개정되면 이것에 관련한 90여개 이상 법률에 영향을 미칩니다.

(말씀 빠른 배대헌 교수님이 마이크 잡았습니다.)

(이동산) 액티브X를 안 쓰면 이용자 컴퓨터가 침해 받을 가능성이 줄어듭니다…..

(김인석)…. 그때 안 된다고 한 이유가 인증서가 내 거라는 걸 어떻게 인증할 거냐. OTP 쓸 거냐, 뭘 쓸 거냐. 그럼 OTP를 거래할 때도, 쓸 때도 또 써야 하는가?

(김인석 교수님 목소리가 높아졌네요.)

(김대영) 시드란 키가 로컬 PC가 내가 패스워드 친 걸 열잖아요. 패스워드가 직접적이건 간접적이건 PC에 저장된 거라는 거죠. 패스워드를 넣잖아요? 인크립션 된 상태로 저장이 되는 거죠. 플레인 텍스트로 저장이 안 되고 인크립션됐다는 거지. 하여간 내 PC에 저장이 됐다는 거죠.

(김인석) 그 수단들이 지금 나와 있는 걸 또 쓸 수밖에 없거든요.

(김대영) 아마존은 패스워드밖에 안 쳐요. 패스워드를 PC에 저장하지 않고 웹브라우저만 패스워드에서 응답하고, 브라우저가 서버와 통신하면서 하는 거 하고..

(김인석) 서명키를 암호화하기 위한 패스워드를 저장하는 건 없어요. 치고 끝나지. npki에 있다고 해서..

(김인석) 금감원이 정점에 있다는 말을 부인하려는 건 아닙니다. 한 가지 궁금합니다. 웹브라우저에 금융회사가 서버에 인증서를 가지고 있을 때 인증서를 리보크하기 위한 방법이 뭐가 있을까요?

(김대영) 이건 인터넷익스플로러 몇 점에 최적화 돼 있습니다 그래요. 억지춘향 경우로 윈도우-익스플로러에 묶인 게 불편한 거로 끝나는 게 아니라 우리나라 전체 보안에 치명적으로 영향을 주고 있습니다. 누가 정점에 있느냐. 지금은 금융감독원인 것 같다는 거죠. 거기서부터 풀고 법도 위임한 권한을 남용하지 않게끔 해서 오픈된 생태계가 스스로 살아나게 족쇄를 풀어달라는 겁니다.

(김대영) 루트 인증 기관으로서 KISA를 부정하는 게 아니고 복수의 루트 인증기관을 해달라. 어떤 기관이 그렇다고 베리사인하는 것보다 우리나라에서 인증받아서 세계로 나갈 수 있는 환경을 왜 막냐고.

전체적으로 봐서 얼핏 법 자체는 큰 문제는 없어보일 수 있어요. 일본의 법이 얼마나 민주적으로 돼 있습니까? 위안부 인정해요? 안 하잖아요. 지금 법이 문제가 아니에요. 똑같은 환경이에요.

지금 금감원이 단순히 금융 보안으로 끝나지 않고 실질적으로 공인 보안, 우리나라 전체의 인증 시스템을 자의반 타의반 잡고 있는 환경인데. 그걸 실무적으로 실행할 때 잘못돼 있다는 거죠. 그래서 저는 아까 하신 많은 부분의 비난이 사실에 근거하지 않은 잘못된 비난이라고 생각하고요.

pki 자체가 문제가 아니고 pki를 운영하는 우리나라의 잘못된 프랙티스가 문제이다. 저장한다는 얘기는 빗겨가라는 얘기랑 똑같아요. 클라이언트에 저장 안 되는 브라우저, 서버를 이용해서 공인인증서이며 공개키가 구현이 되는 그런 걸 빨리 확산하고 실무에 있는 분도 교육하여 모두다 그런 환경으로 빨리 가면 좋겠습니다.

(김대영) 실무에 있는 사람이 구속할 그게 없는데 서로 요구하고 따르는 걸 떠나서, 표준 웹 환경으로 구현하는 걸 빨리 더 확산을 시키고 그걸 실무선상도 교육을 시키고 그렇게 기술적으로 풀어쓰면 좋겠습니다. 그게 표준웹으로 가는 거죠.

이게 가장, 제가 보는 기술적으로 가장 접근하는 방법일 것 같아요. 공인인증서다, 전자서명이다 섞어서 하는 pki 자체는 그거는 지금까지 알려진 기술 중에서 신원 인증하는 가장 발달한 방법이다, 그걸 부정하기 어렵다, 다만 그걸 구현하는 방법에 있어서 마이크로소프트와 이상한 그 환경만 걷어내어 pki 프로덕트를 많이 내고 장려하고, 그렇게 빨리가면 좋겠습니다.

저는 개정안을 얘기한 겁니다. 개정안을 읽고 제가 이해한 건 개정안을 공격하는 주요 아규먼트는, 신문기자가 타이틀을 잘못 잡을 수 있어요. 그런데 공인인증서 폐지를 주장한다고 공격하는 건 잘못된 겁니다.

공인인증서를 강제하지 않도록 하는 안정장치를 얘기한 거죠.

(김대영) 현장에 있는 사람이 잘못된 기술을 강요한다는 거죠. 원하지도 않았는데 금융쪽이 먹이사슬 꼭대기에 억지로 서게 됐다고 말씀했는데요. 현재로 얘기하면, 저도 다른 거 할 때 공인인증서 안 써요. 모바일은 3년 전 아이폰에 뒤통수 맞아서 된 거고. PC인프라를 같이 해결해야죠. 그래서 프랙티스가 문제인데.

히스토리를 들으니까 금융감독원은 복제 문제 해결하라고 정통부에 얘기했는데 안 됐다고 했죠. 그때 정통부라든지 기술하는 사람이 더 책임이 있었네요. 그건 제가 인정을 해드리고.

(김대영) 북한, 실제 그런 멋있는 허울을 두고 실제 그거를 힘을, 행사하는 그 과정에서 실제적인 과정에서가 어떻게 되느냐가 문제다라는 겁니다. 인터넷 보안에 대해서는 우리나라 문제가 바로 그거다라는 거에요. pki 폐지했다고 한 거 틀린 말입니다.

지금의 문제는 pki를 폐지하자고 한 적 없고 개정안에도 없습니다. 강제하지 말라는 겁니다. 저는 신원확인과 인증은 certification입니다. 신원확인하는 과정에서 전자서명이 문서에 대한 디지털시그니처가 됩니다. 그걸 하는 기술로는 pki가 제일 우수해요. pki가 문제는 아니에요.

우리가 얘기할 때 pki를 얘기하는지, 인증서, 구조, 신원확인을 얘기하는지 서로 헤맨다는 거죠.

(이동산) 3시간 정도 공인인증서 취지와 역사, 흘러온 과정을 들었습니다. 대부분 개선이 필요하다는 의견을 주셨습니다 .저도 개선이 필요하다는 데 공감합니다. 토의를 할 때 옛날 얘기는 뒤로 빼고 어떻게 해야할지에 집중하면 좋겠습니다.

(사회자는 7시에 시작한다고 했지만, 식당 줄이 깁니다. 제가 빨리 온 편입니다.

식사는 토론회장에 들어갈 때 받은 목줄에 있는 식권을 내고 했습니다. 주최측은 이미 밤늦게 끝날 거라고 생각했었나 보네요.

다들 저녁은 햄버거와 콜라 한 잔으로 때웠습니다. 토론회를 시작해야, 중간에 간 사람이 어느 정도인지 알 것 같습니다.

그래도 오늘 10시 전에는 끝날 것 같습니다. 이곳을 10시까지만 빌리기로 했다고 합니다. 입간판에 있는 10시까지 할 수 있다는 문구 보이시나요?)

(이 분이 아직 성함과 소속을 밝히지 않은 게 맞군요. 김인석 고려대학교 교수입니다.)

저는 고려대학교 교수로 있고, 2011년 3월 7일부로 감독원에서 퇴직했습니다. 감독원에 있을 때는 96년부터 은행감독원, 금융감독원으로 있으며 전자금융거래법, 감독법, 서명, 사고, 인증서, 보안카드, OTP, 결제원, 인증센터, 아이삭 등 설립에 관련한 모든 건 제 손을 거쳐서 했습니다. 그 문제에 대해서 각각에 대해서 누구하고 토론해도 충분히 납득시킬 자신 있습니다.

불편하면 인터넷뱅킹 이용률이 40% 떨어져요. 그럼 영업점이 부담해야 해요. 제한하면 그런 역효과가 납니다. 그때부터 인증 기관에 이런 문제 얘기했어요. 복제 문제 어떻게든 막아야 한다고.

그런데 불행하게 그때 약속한 차관님이 그만둔 바람에 인증기관에 대한 파급이 안 되는 거 같아요. 복제 문제만 해결하면 별 문제 없을 것 같아요. 사설이든 공인이든 그건 중요한 문제 아닙니다.

(사설인증 쓰라고 하면) 은행이 자기끼리 모여서 금융인증서 만들 겁니다. 여러분들 각 분야별로 전문가이신데 전체를 보고 그거에 대한 효과와 역효과, 발전방향을 얘기해야 하는데 자꾸 우리는 문제 없다고 하면… (무책임하다고 하는군요)

지금의 전자금융 인프라에 상당히 자부심을 갖고 있는데 2006년부터 김기창 교수님이 저를 공격하는 겁니다. 저기 앉아 있는 저 사람이 있다고 공격하는데요. 리눅스와 맥킨토시 환경에서 왜 못 쓰게 하느냐란 얘기였습니다. 그건 감독자가 아니라 은행이 이익이 되면 하는 거고 아니면 안 하는 건데 왜 감독원에 얘기하느냐고 했습니다.

그때 인증서 내려받는데 30분 걸립니다. 또 하나, 법적으로 사설 인증으로 문제가 발생하면 은행이 책임을 지고 업체에 부과하는데 업체가 영세합니다. 그래서 나온 게 공인인증서입니다. 공인인증서로 가면 이런 문제는 있는데 그건 사설 인증도 똑같다라고 했습니다.

그래서 제가 조건을 걸었습니다. 비용은 정부가 해결하고 복제 문제도 해결해달라. 급박한 정부가 그걸 약속을 했습니다. 그 당시 정통부 차관께서 자기가 보증할 테니까 해달라. 서명으로 해달라고 하니 회의하면서 어떻게 그렇게 해줄 수 있느냐라고 했습니다. 그때 김성동 금융위원장을 모시고 갔는데 차관이 개런티하면 된 거지, 김팀장 그렇게 세게 나오면 안 돼,라고 했습니다.

분명한 건 2002년 6월, 그때 안 잊어버리는 게 포르투갈 전이 열린 날 광화문 사옥에서 회의를 했습니다. 결국 3시 회의하기로 했는데 5시에 들어갔어요. 그 것도 걸어서. 그때 나온 얘기가 왜 금융권이 이걸 안 쓰냐? 못 쓴다. 이유는 첫째 법제. 두 번재는 비용. (중요한 단어들이 안 들립니다.)

그 당시 정부가 급했던 게 2002년 10월 전자정부를 도입해야 하는데 그럴려면 인증서가 천만이 필요한데 정부 힘으로 할 수 있는 방법이 없었어요. 그래서 인터넷 뱅킹에 공인인증서하고 9월말까지 천만인증서를 발급해달라는 요청을 받았어요.

정말 식사를 준비했다고 합니다. 플로어 질문을 받고, 저녁을 먹겠다고 합니다.

정부가 만든 전자서명법 개정안이 8월 국회에 제출됐다고 합니다. 이 포스트에 사진을 첨부해 올리겠습니다.

(이런 연구가 있다고 합니다. 종이 서명할 때 베껴 쓰면 서명이 힘있지 않고 머뭇한 게 보이는데요. 이걸로 본인이 했는지를 보겠죠. 패드에 대고 하는 서명도 이걸 확인하는 기술이 있다고 합니다.)

(이정현) 인증서가 불편하다고 하는데요. 액티브X 없이도 공인인증서 사용합니다. 16일인가요? 엊그제 3천만명이 사용한다면서 나와 있지 않습니까? 모바일 뱅킹할 때 액티브X 씁니까? 인증서와 액티브X는 그것만 봐도 무관한데 은행에서 깔리는 것 중 하나에 불과합니다. (아.. 자세한 얘기는 나중에 얘기한다고 하는군요. 지금이 6시인데 말이죠. 정말 10시까지 할 것만 같습니다.)

(이정현) 전자서명에는 광의의 전자서명, 협의의 전자서명이 있습니다. 공인 전자서명은 광의와 협의의 전자서명 사이에 있습니다. 수기 서명을 스캔한 이미지도 전자서명이고, (식당에서)터치패드에 서명한 것도 전자서명, 키보드로 입력한 것도 전자서명, 지문 인식이나 홍채 인식 기술 활용한 것도 광의의 전자서명입니다.

이런 개념이 없이 전자서명이 문제가 있다고 하는 것은 이해가 부족하지 않는가 생각합니다.

(이정현) 공인인증서가 우리나라에만 있는 거 아닙니다. 독일, 미국에도 있습니다. (상세 설명은 원문 그대로 읊어주어 옮기기가 어렵네요.)

(이정현)

Stephen Mason ‘Electronic Signatures in Law’를 보면
규제모델: 유타주법, PKI 중심, 수기 서명 대체 방법, 우리나라
시장모델: 미 다수주, 특정 기술적 규제X, 인증기관요건 X, 조달과 같은 정부 거래에는 허가를 요구
혼합모델: UNCITRAL(유엔 국제상거래법위원회) 전자서명 모델법, 인증기술의 고유한 특질을 법률에 정함

(말씀이 너무 어려워 PT자료와 설명을 섞었습니다)

(이정현) 그때 많은 문제가 있었습니다. 외산인 ‘베리사인’거 쓰자고 했는데 상당히 고가였고, 기술 종속될 수 있다는 것도 고민이었습니다.

(이정현) 박성기 부장이 서명은 죽고 인증만 남았다고 했는데요. 사인 행위를 전자적으로 어떻게 확인하는지가 관건입니다. 거기에서 pki, 전자서명 기술이 나왔는데 서명 확인은 사라지고 본인확인만 남았습니다.

(휴, 5시 36분, 이제 6명 패널이 이제 발표를 마쳤습니다. 손가락이 움직이는 속도가 점점 느려집니다. 좌석도 조금 비었네요. 중간 중간 나간 분도 있습니다. 얘기가 길어지며 오가는 분이 있는 것 같습니다.)

(박성기) 여기 계신 분도 공인인증서 제도는 인정합니다. 그런 상황에서 공인인증서 비공인인증서가 상호 보완 발전합니다. 다른 나라는 글로벌 독점 기업이 장악했습니다. 이런 산업 체계가 좀 더 정비돼 발전하면 좋겠습니다. (전자서명법 개정안도 이 방향으로 수정되길 바라는군요)

단지 신용카드 결제를 위해 제도를 없애라는 게 타당한 겁니까. 오픈웹 환경을 만드는 데 공인인증서가 무슨 상관 있습니까. 공인인증서 리눅스, 파이어폭스 다 사용 가능합니다. 기업체가 솔루션을 구입해 사용하면 리눅스에서도 사용 가능합니다. 그렇게 된 지 수년 됐습니다. 공인인증서 때문에 IE 환경으로 이끈다? 모순된 겁니다.

(박성기) 지금 금융권에서 사고가 일어나는 대부분 해킹 방식 90% 이상이 이렇게 일어납니다. 백도어 해킹입니다. 바이러스 백신을 무력화하고 키보드 보안을 무력화하는 단계를 거쳐서 통장 비밀 번호, 보안카드 번호, 아이디 패스워드, 계좌번호, 주민번호를 빼갑니다. 이를 탈취해 공인인증서를 새로 발급받습니다.

이건 제도적인 문제입니다. (공인인증서 온라인 발급하는 제도를 말하는군요) 이런 정보가 유출되는 게 공인인증서가 취약해서입니까? 액티브X 쓰지 않는 크롬 환경이 취약하다는 거 아는지 모르겠습니다.

(박성기) 공인인증서가 유출됐다고 해서 은행돈을 왕창 뽑아갈 수 있는 거 아닙니다. 공인인증서는 소프트웨어입니다. 공인인증서 비밀 번호, 통장 비밀 번호, 보안카드 번호, 신용카드 번호, 신용카드 비밀 번호, 주민번호 못알아냅니다.

(박성기) 금융 당국과 얘기해서 끝나면 됩니다. 전자서명법에서 공인인증서를 폐지할 문제가 아닙니다. 도입 안 하면 됩니다. 그런데 은행 때문에 다른 산업도 무너지라는 겁니까? 지금 상태에서도 은행은 자유롭게 선택을 할 수 있습니다. 은행권과 신용카드가 공인인증서 도입한 배경을 보면, 2002년도 쯤, 금감원이 권고를 했습니다. 그게 지금 이어져 오면서 사용하게 되었습니다. 신용카드사도 2004년도 쯤, 신용카드사와 금감원, PG사가 적용한 걸로 압니다.

처음 10만원으로 했다가 업계 반발로 30만원으로 올린 걸로 아는데요. 이게 마치 공인인증 기관이 요구했다? 전혀 아닙니다.

(박성기) 전 전자문서 팀에서 일합니다. 전자문서 산업 자체가 효력 상실입니다. 인증이 없는 상태에서 당사자끼리 맞아, 맞아가 되겠죠. 제3자는 누가 전자문서 진본인지 확인하겠습니까. 연관 법률이 90개 입니다. 이 90개 법률을 무력화하는 게 전자서명법 개정안입니다. 어디서 있다 나왔는지 모르게 개정안이 올라갔습니다.

(박성기) 개정안은 국민의 희생을 강요합니다. 공인인증기관 스스로 과실이 없다는 걸 입증해야 하는데요. 개정안에는 이런 조항이 없습니다. 그럼 나중에 문제가 생겼을 때 과실 없는 걸 누가 증명해야 합니까. 은행은 금융 전자거래법에 의거, 은행이 밝혀야 합니다. 쇼핑몰은 누가 밝혀야 합니까. 답답한 사람이 우물을 파야 합니다.

(박성기) 제3자 전문기관 검증 부분은 무정부주의 발상 아닌가요. 정부기관이 아니면 누구에게 검증을 받으라는 건가요? 6월 토론회에서 김기창 교수님이 제시한 게 이 자료입니다. (인쇄해 왔군요)

우리같은 공인인증기관이 제3자 공인인증을 하는 겁니다. 전혀 다른 자료입니다. 아직까지 세계적으로 루트CA에 대해서 제3자 공인인증을 받는 경우 없습니다.

(박성기) 15년 된 낡은 기술이라고 주장하는데요. 공인인증서는 해마다 기술 발전을 거듭합니다. 낡은 기술이라는 증거를 제시해주면 좋겠습니다.

(지금, 이니텍이 액티브X없는 공인인증 구현이란 기사를 보여주는군요.)

액티브X는 기업의 선택의 문제입니다. 일부러 드림위즈걸 캡처했습니다. 이찬진 사장님이 얼마전 트위터에서 현대카드 사장님에게 얘기했죠. 이찬진 사장님의 드림위즈에서는 액티브X를 왜 사용합니까? 그렇게 액티브X 없애라고 주장하는 분이. (드림위버 내려받는 화면을 캡처한 것 같습니다)

(박성기)

공인인증서와 금융을 결부해 공인인증서를 공격하는데요. 해외에서 결제하지 못해 우리나라 쇼핑몰이 해외에 진출하는 데 장애가 있다고 하는데요. 외국쪽에선 공인인증서가 필요 없습니다. 국내는 30만원 이하 거래가 전체 거래의 90%를 차지합니다. (이 금액은 공인인증서 없이도 거래할 수 있지요)

외국으로 진출하고 싶은 쇼핑몰은 외국인이 결제하는 전용 모듈을 쓰면 됩니다. 이건 PG사 서비스의 방식의 문제입니다. 금융 당국과 신용카드사의 정책적인 문제이지, 공인인증기관과 공인인증, 전자서명법의 문제가 아닙니다.

(박성기) 휴대폰 인증, 본인인증, 신용카드 결제할 때 VP가 서비스하는 ISP, 모두 비 공인인증입니다. 공인인증 때문에 다른 산업이 죽는다? 말도 안 되는 소리입니다.

갈라파고스 이론을 주장하는 분이 있습니다. 지금 공인인증 제도는 각 나라에 퍼졌습니다. 특히 아시아 pki 포럼은 8개국이 우리나라 것을 벤치마크하여 자국 것으로 만들어 서비스합니다. 중국, 일본도 마찬가지입니다. 스웨덴, 노르웨이 등이 금융 거래에 공인인증을 씁니다.

(박성기) 여태까지 언론에서 추측기사가 나왔습니다. 6월 이전 이 일이 벌어지는 줄 몰랐습니다. 이 업무를 하면서 기자분께서 저나 회사에 확인 전화를 한 게 몇 번 안됩니다. 이러니 여론 성토, 오보. 왜곡된 정보 때문에 이런 사태가 벌어졌다고 봅니다.

아, 바로 시작하는 군요. 이제 박성기 한국정보인증 부장이 얘기합니다.

(배대헌)

공인인증서와 비공인인증서 이용 확대에 대한 문제가 또 다른 문제입니다. 기술발전 여건에서 발생한 상황이므로, 법률을 개정해야 하는데 어떻게 할지 방법을 논의하자는 게 제 생각입니다.

(배대헌) 2013년 현재 전자서명법 실체는 2005년까지의 상황을 담고 있습니다. (오래 전 상황을 담고 있으므로 개정할 필요는 있다는 뜻으로 해석하겠습니다.)

제가 앞서 모두에서 전자서명법 개정의 찬성과 반대이냐하는 것과, 전자서명법 개정에 대한 천성과 반대는 다릅니다. 전자서명법 개정은 필요한 건 저도 마찬가지입니다.

현행 전자서명법을 발의된 안으로 개정하는 것은 문제가 있습니다.

(배대헌 교수님은 말씀이 아주 빠르시네요. 말의 속도를 제 타이핑 속도라 따라가지 못하겠습니다. 독자 여러분은 감안하고 봐주시기 바랍니다.)

(배대헌) 디지털 환경이 어떻게 변화하였는지 보죠. 1990년대 우리가 소위 인터넷이 아주 상업용으로 활성화한 96년, 97년. 그때를 되돌아 보죠. 초고속망을 구축하는 데 45조원이 필요한데 정부는 1조원을 낸다, 라고 했습니다. 여러분 허리 춤에 페이저를 붙이고 다녔고 공중전화 박스 옆에서 셀폰과 같은 전화를 썼던 시티폰이란 게 있었습니다. PC를 일반인이 쓰게 하려고 저가로 보급하는 상황이었습니다.

그 당시 우리가 무엇을 할 수 있었는가. 우리가 디지털 서명법을 세계 최초 법이라고 하는 유타 주 법을 가지고 연구했습니다.

(배대헌) 문서에 서명하는 것과 전자문서에 서명하는 것은 같은 것으로 혼동하는데요. 전자서명은 암호이고 서명은 거래 내용이 변경되지 아니했고, 거래 당사자가 누구이고, 그 내용을 내가 확인했다는 표시입니다.

서명의 기능과 효과가 전자서명에도 그대로 드러나야 한다는 게 전자서명의 숙제였습니다.

최재천 의원이 5월 발의한 전자서명법 개정안입니다. 오늘 토론회에서 이 내용이 여러 차례 나오는군요. 대한민국국회 홈페이지이며, 아래 URL로 이동하면 파일을 내려받을 수 있습니다.

http://likms.assembly.go.kr/bill/jsp/BillDetail.jsp?bill_id=PRC_D1A3N0P5U2L8K1H3C4E1H2C4B0Z3U2

(배대헌) 2000년 과제에 대한 결론을 금융위원회에서 관심을 보였다면 제가 정부 정책에 영향력이 있겠죠. 혹은 그렇지 않다면, 사실과 다른 내용을 공개적으로 이야기하는 건 잘못 말하는 데에 대한 자기 책임이 필요합니다.

그 과제를 마친 건 2000년 입니다. 전자금융거래법은 2006년 4월 제정됐습니다. 6년이나 지나고 나서 제 과제 결과를 금융위가 받아들였다면, 그것이 제가 공인인증서를 강제하게 하는 행위에 마치 주된 역할을 해서 우리나라가 공인인증서를 금융기관에 강제한 핵심 포인트로 생각할 수 있는가, 이점은 명확하게 의미를 전달해야 하지 않을까 싶습니다.

이제 배대헌 경북대학교 교수가 발언을 시작합니다. 그동안 플로어에서 발언권을 달라고 손 드는 분이 몇 분 있었나 봅니다. 사회자가 기다려달라고 했습니다.

(김기창) 역사적인 시각을 가질 필요가 있습니다. 어째서 다른 나라 어디에서도 강제하지 않는, 강제 규정, 강제 체제가 시작했는가를 생각하면 실마리가 보일 겁니다.

전자서명법 자체는 강제 규정이 전혀 없습니다. 전자서명법이 통과된 직후, 2000년 KISA가 발주한 연구용역을 배대헌 교수님과 연구원 4분이 수행한 것을 보면요. 거기에 금융실명제라는 게 있으니 공인인증서는 반드시 금융거래에 사용되어야 한다는 아이디어가 중요한 부분으로 이해했습니다. 그런 논리는 보안 기술 논리는 전혀 아닙니다.

금융실명제라는 것이 법률 제도이지, 보안 기술 이슈가 아닙니다. 기술 이슈는 제도적으로 강제할 필요가 없죠. 영국도 미국도, 금융실명제는 세계에서 다 하는 겁니다. 금융실명한다고 하여서 공인인증서가 반드시 사용되어야 한다는 것은 법률 논리적으로 전혀 안맞습니다.

(김기창) 한국 밖에서 거리를 두고 보면 한국의 보안 기술은 자생력이 없습니다. 즉 정부에 기대어 정부가 ‘공인’자를 붙여주길 기대하고 인증하길 바라고 금융위원회라는 정부 기구가 어떤 기술을 쓰도록 강제하길 바랍니다. 한마디로 기술 경쟁력이 없다는 겁니다. 기술 자생력이 없고 홀로 설 자신감 자체가 없습니다.

인터넷은 15년 됐습니다. 중요한 인류의 경제활동 변화가 e커머스라는 건데 그 시작부터 한국은 정부에 기대어 법령의 강제력에 의존해서 보안이 사실상 자생력을 스스로 포기한 그런 상황이 한국에서는 다른 어떤 대안을 경험할 기회가 없었습니다.

영국의 보안 전문가도 정부 눈치를 보거나 정부에 기대는 사람이 없습니다. 오로지 자기와 계약한 상대방, 상대방에게 안전하고 안 뚫리는 서비스를 제공하느냐, 계약상의 의무를 준수하느냐가 중요한 겁니다.

그런데 지금 막, 배대헌 경북대학교 교수님이 사회자에게 이의를 제기했습니다.

전자서명법을 개정하자, 말자라는 거에 대한 게 아니라, 전자서명법 개정안에 관한 찬성과 반대,라고 명확하게 표현해달라고 부탁했습니다.

자, 이제 양복 재킷을 벗는 모습이 나왔습니다. 박성기 부장과 배대헌 부장이 열기 때문인지 재킷을 벗었습니다.

(김대영) 전 개정안의 방향은 잘 돼 있다고 생각해요. (최재천 의원이 발의한 전자서명법 개정안을 말합니다.)

(김대영) 같은 인증을 받더라도 기왕이면 정부와 관련한 KISA에서 인증을 받고 싶어하겠죠. 그런데 KISA를 정점으로 하여 전부 KISA로만 인증을 받는 건 잘못됐습니다. 공인인증이라는 게 전문가 그룹인 KISA를 유일한 빅브라더로 만들고 있습니다.

(김대영) 금융위원회가 국내 전체 보안 환경을 실질적으로 지배합니다. 우리나라 국내 전체 보안환경을 가이드하고 이끌고 유도하는 건 금융 전문가가 할 일이 아니고 인터넷 보안 전문가가 할 일입니다. 실질적으로 금융전문가가 합니다. 전 잘 모르지만, 금융위원회나 감독원은 당연해도 금융보안연구소의 결제권이 있고 힘이 있는 사람이 누굴까 상상해보세요.

우리나라 보안은 금융카르텔이 잡고 있습니다.

(김대영) 근본적 상황 개선 없이는 한국은 인터넷 보안 최악 후진국으로만 남을 겁니다.

(김대영) 금융과 관계없는 환경이 윈도우 일색으로 돼 있고, 그것도 액티브X에 오픈된 상태죠. 우리나라 거의 모든 컴퓨터 환경이 액티브X에 노출돼 있습니다. 우리나라가 공격을 많이 당하는 이유 중 하나가 이겁니다. 그렇게 안 해도 공격을 당할 판에, 한국은 해커에게 더 없이 좋은 놀이터예요. 그리고 숙주이고.

(김대영) 공인인증서와 전혀 관계 없는 얘기에요. 윈도우는 논 스탠다드 폴리시 입니다. 우리나라만 하여간 그렇게 꼬여서 컴퓨터 환경이 아주 이상하게 돼 있습니다. 왜 그러냐고 보면 우리나라는 먹이사슬이 있어서입니다. 처음에 꼬였고, 그거에 의해서 이상한 시장이 형성이 됐고, 이미 그걸 10년 하며 생태계 내에서 돈 버는 사람이 있고 칼을 휘두르는 사람이 있고 칼을 휘두르며 즐기는 사람이 있고 국민은 무식하고 김기창 교수와 같은 사람은 사회 불만 세력으로 보죠.

(김대영) 한국 후진적인 웹환경 잘 알지만, 툭하면 뭘 내려받아 설치하세요 입니다. 윈도우즈가 아니면 돌아가지 않게 돼 있어요. 살면서 비싼 맥을 사놓고도 윈도우를 깝니다. 윈도우도 새 버전을 깔면 액티브X가 동작하지 않죠.

(김대영) 어느 한 OS에 걸려 있는 것, 이건 절대 피해야 하고 아주 나쁜 거죠. 우리나라가 바로 그런 환경입니다. 그래서 갈라파고스 비유를 하는데요. 딱! 우리나라가 그런 환경이에요. 우물안 개구리죠. 우리가 무시하는 루마니아만 해도 모든 정보를 보고 여관 예약하고 회의하고 모든 걸 할 수 있어요. 그런데 인터넷 강국이라는 우리나라는 외국 사람이 조금만 환경이 다르면 우리나라 들어와서 쇼핑할 수 없습니다.

(김대영) 저는 이렇게 접근하고 싶습니다. 저는 모든 문제를 표준웹에서 접근해 말하고 싶어요. 그게 우리나라에서는 공인인증서라는 키워드로 노출이 되고 있는데요. 근본적인 문제는 표준웹!

(김대영) 부끄럽게도 IT 하는 사람 자체, 인터넷 보안 전문가 자체에서는 오히려 이 문제에 대해서 앞에 나서가지고 골리앗과 싸우지 않았습니다 그런데 어느날 김기창이란 사람이 나온 걸 봤습니다. 100% 기술적인 거에 동의하느냐를 떠나서 근본적인 문제를 사회 문제로 만든 데에 공헌이 있습니다. 사실 기술자가 해결해야 했는데 부끄럽게 생각합니다.

토론회 참석자가 돌아가며 토론회에서 다루고 싶은 얘기를 꺼내고 나서 공방이 오갈 거로 보입니다. 토론회장 뒤쪽을 보니 진행요원이 아닌데도 서서 듣는 분이 보이네요. 정말 모처럼 청중이 많은 토론회를 왔습니다.

(이동산) 기타 다양한 전자금융 요구사항을 공인인증서와 이를 사용한 플러그인으로 확대가 되어 잘못된 방향으로 간 거 아닌가 생각합니다. 인증방법평가위원회에 우리도 평가를 받았습니다. 비용이 되게 많이 듭니다. 저희와 같은 작은 회사가 3천만원, 6개월 대기, 평가 주체는 금융기관이 아닌 곳은 2개 기관에 신청해야 하는 문제를 직접 느끼고 있습니다. 평가가 끝나면, 이게 다 끝난 게 아니고 그 다음에 호환성 심의하는 단계가 또 남아 있습니다. 이건 다뤄볼 만한 주제라고 생각합니다.

(이동산) 공인인증서 국제 표준 관련해 많이 참여합니다. 국제 표준화에 맞춰 우리가 준비해야 할 게 뭐가 있는지 생각해봐야 할 것 같습니다.

(이동산) 제가 볼 때는 지금 사실 플러그인이나 이런 것들이 공인인증서에 사용되고, 그것이 사용되는 중요한 원인 중 하나가 인증서 저장 비치, 이런 것들이 중요한 원인이라고 생각합니다. 지금은 저장 위치가 npki 폴더 등인데요.

토론은, 이동산 페이게이트 CSO, 김대영 충남대학교 교수, 이경호 고려대학교 교수, 이정현 한국인터넷진흥원 책임연구원, 배대헌 경북대학교 교수, 박성기 한국정보인증 부장, 김기창 고려대학교 교수가 함께합니다.

잠시 포토타임~을 갖고 패널 소개를 했습니다. 영국에서 김기창 교수와 화상으로 연결했습니다. 현장 열기가 후끈하다고 생각하는 건, 이곳에서 저뿐인 걸까요.

(이동훈) 제 입장입니다. 얼마 전 저는 인증방법평가위원회 위원장이었습니다.

인증방법평가위원회는 다양한 인증방법을 쓰게 하자는 겁니다. 나군, 가군이 있는데 가군은 인증서 쓰는 것과 동일한 거 쓰면 통과하고 나군은 그보다 약합니다.

(인터넷에) 다양한 인증방법을 마켓에서 쓰는데 너무 딴지를 걸어서 활성화가 안 됐단 글이 올라와요. 저를 개인적으로 비난하고요.

(이동훈) 공인인증서, 몇 십년 전 후진 기술을 쓰고 있지 않느냐고 하는데요. 그런데 전자서명으로 인증하는 프로세스, 그 기술은 상당히 높은 기술입니다. 전자서명이 보안성이 낮다고 하는데요. 어딜 봐도 공인인증서의 보안 등급에 대한 얘기는 없습니다.

(이동훈) 저도 액티브X를 찬성하는 쪽이 아닙니다. 공인인증서와 액티브X 문제는 분리되면 좋겠습니다. PC에서 전자금융거래할 때 액티브X를 7개 정도 깐대요. 공인인증서를 액티브X없이 구현하면 7개 중 하나만 사라집니다. 공인인증서 때문에 액티브X가 필요하지만, 액티브X의 주범이 공인인증서라는 건 과다합니다. 액티브X에 대한 논쟁은 따로 할 필요가 있습니다.

(이동훈) 여러분이 하는 전자서명, 이것은 기술적으로 상당히 안전한 겁니다. 전자서명을 누가 위조하려면, 여러분 인증서는 2048비트를 씁니다. 전자서명을 위조하려면 제로와 112비트의 1을 다 맞춰야 합니다. 2의 112승개에서 정확히 하나를 집어내야 합니다. 이것은 10이 한 40개 있다는 거죠. 살아서 정확한 값을 얻기 어렵습니다.

(이동훈) (최재천 의원이 발의한 전자서명법 개정안을 따져보는 것 같군요.)

공인인증기관 지정하는 걸 허가제에서 등록제로 변경한다. = 이 얘기는 놓쳤습니다.

개정이 되면, 미래부 장관이 정하는 인증업무 수행기준을 준수하고, 전문성을 가진 독립적인 제3자의 점검을 정기적으로 받아야 합니다. 그렇지 않고 일반 인증서는, 인증업무 수행기준을 따르지 않아도 인증업무가 가능하다는 내용이 있습니다.

(이동훈)
공인전자서명과 일반 전자서명이 있습니다. 공인전자서명은 우리가 서명을 할 때, 인증서를 남이 가져다가 내 서명이 맞는지 확인하려면 여러가지 네트워크가 필요합니다. 그게 PKI입니다. 일반 전자서명이라고 하면, 법적으로 서명, 서명날인 또는 기명 날인 효력이 있다고 합니다.

일반 전자서명이라고 하면 상당히 범위가 넓어져요. 전자패드 서명, 이미지화 된 서명 혹은 공인인증기관이 발급하지 않고 사설기관이 발급한 전자서명도 일반 전자서명 범위에 들어갑니다.

지금은, 이후 진행되는 끝장 토론회를 위해, 예습하는 시간과도 같습니다.

(이동훈)

공인인증서는 제 서명을 확인할 때 사용하는 정보는 이걸 쓰세요라고 하는 인증서입니다. 흔히 인감과 같다고 말하지요.

(이동훈) 전자서명은 OTP와 똑같은 방식입니다. OTP방식과 전자서명을 사용하는 건 학문적으로 똑같은 방법입니다. 논의할 때는 전자서명법이나 공인인증서를 할 땐, 전자서명이 인증에 사용되는 걸 반대할 건지, 계좌이체하거나 할 때 부인을 못하게 할 때 쓸 것인지 생각해야 합니다.

(명확한 뜻을 알고 얘기하자는 말씀이겠죠.)

(이동훈) 그런데 혹시 우리가 공인인증서하면 착각하는 게 있습니다. 전자서명에만 쓰인다고 착각하는데요. 전자서명으로 하는 서비스는 크게 2가지가 있습니다. 여러분이 은행 웹사이트 들어갈 때 아이디 패스워드 대신에 인증서 사용하지요. 그건 이 사람이 맞는지 확인하는 인증 작업입니다. 인증서로 검증을 하는데 제가 만약 앞에 있는 이경호 교수님이 맞는지 확인하고 싶어요. 당신이 맞는지 사인을 해보십시오, 하는 거죠. 이경호 교수님이 아닌 사람은 사인을 못할 거에요. 네트워크에선 사인을 할 수 있는지 알아보는 겁니다.

(이동훈) 자필서명은 종이에 서명을 하는 겁니다. 종이에 서명을 하면 내용이 달라도 서명은 같습니다. 전자서명이란 건, 내용이 달라지면 전자서명 값도 달라집니다. 그만큼 전자서명을 하는 시점과 여기 안에 있는 말이 전자서명을 하기 전에 나온 건지, 후에 고쳐진 건지 알 수 있습니다.

(전자서명과 인증서와 전자서명법 개정안, 기술로 풀 수 있는 공인인증서에 대한 논쟁, 이렇게 3가지를 설명한다고 합니다.)

바로, 이동훈 고려대 정보보호대학원 교수가 발제를 시작합니다.

(임종인) 오늘 기술적 관점과 다양한 관점에서 여러 의견이 정말 끝장 토론회답게 자유롭게 개진돼, 건전한 논의하는 계기가 되면 좋겠습니다.

임종인 고려대학교 정보보호대학원 원장이 인사말을 하고자 무대에 올랐습니다.