.jpg)
_ALTools_AIRemoveBG.png){kind=spacer}
지문·정맥인식 기술 고도화 속 성능 향상과 함께 관리 책임·유출 대응 한계 부각
단일 생체정보 의존을 넘어 멀티모달·템플릿 보호 중심의 복원력 설계 중요성
[보안뉴스 강초희 기자] 생체정보는 개인에게 고유하며, 한 번 유출되면 다시 발급하기 어려운 데이터다. 사용이 편리한 만큼 단 한 번의 관리 실패가 곧바로 신뢰 붕괴로 이어질 수 있다는 뜻이기도 하며, 최근 생체인증을 둘러싼 보안과 개인정보 논의가 활발해진 배경이기도 하다.
이 과정에서 지문인식과 정맥인식은 서로 다른 위치에서 각기 다른 질문을 받고 있다. 가장 널리 쓰이는 지문인식은 대규모 확산 이후의 관리 책임과 사고 대응이라는 과제를 마주하고 있고, 정맥인식은 높은 보안 수준이 요구되는 환경에서의 활용을 넘어 얼마나 폭넓게 적용될 수 있는지가 시험대에 올랐다.
생체정보는 편리한 인증 수단이지만, 한 번 유출되면 되돌리기 어렵다는 점에서 ‘최고 수준의 민감정보’로 분류된다. 비밀번호처럼 바꾸거나 재발급할 수 없기 때문이다. 보안 업계에서 생체인증을 바라보는 시선이 기술 성능보다 관리 책임과 사고 대응 체계로 옮겨간 배경도 여기에 있다.
지문인식은 스마트폰과 출입통제 환경을 중심으로 가장 널리 확산되며 사실상 표준 인증 수단으로 자리 잡았지만, 대규모 운영 과정에서 발생할 수 있는 위·변조 시도, 오인식, 데이터 관리 실패에 어떻게 대응할지가 과제로 떠올랐다. 반면 정맥인식은 내부 혈관 패턴을 활용해 보안성과 정확도 측면에서 높은 평가를 받으면서도 높은 구축 비용과 운영 부담, 낮은 인지도 등으로 인해 어디까지 적용 범위를 얼마나 확장할 수 있을지가 관건으로 떠오르고 있다.
언제나 그렇듯 기술은 빠르게 고도화되고 있다. 센서와 알고리즘 성능은 상향 평준화 단계에 접어들었고 라이브니스 검증과 멀티모달 결합, 온디바이스 처리와 암호화 등 보호 기술도 동시에 발전하고 있다. 다만 아직까지 ‘완벽한 위조 불가’라는 표현은 조심스러운 게 사실이다. 그 대신 위협 가능성을 전제로 한 설계와 사고 이후 대응 체계의 중요성에 더 무게를 두고 있다.
지문인식, 생체인식 대중화의 주역
지문인식은 생체인식 기술 가운데 가장 먼저 대중화에 성공한 기술로, 현재까지도 가장 널리 사용되는 인증 방식으로 자리 잡고 있다. 스마트폰 잠금 해제부터 금융권 본인 확인, 공공기관 출입통제, 기업 보안 시스템에 이르기까지 적용 범위는 매우 광범위하다.
초기에는 인식 정확도와 위·변조 가능성에 대한 우려도 적지 않았지만, 센서 성능과 매칭 알고리즘이 지속적으로 고도화되면서 기술 신뢰도는 빠르게 개선됐다. 최근에는 고해상도 센서와 딥러닝 기반 매칭 기술이 적용되며 오인식률이 크게 낮아졌고, 대규모 사용자 환경에서도 안정적인 인증이 가능한 수준까지 기술 성숙도가 높아졌다는 평가다.
보안 업계에서 생체인식의 정확도는 단순 인식 성공률이 아니라 오인식 가능성을 중심으로 평가된다. 대표적인 지표는 오인인증률(FAR: False Acceptance Rate)과 오인거부율(FRR: False Rejection Rate) 그리고 두 수치가 같아지는 지점인 EER(Equal Error Rate)이다. 이 가운데 FAR는 보안 사고로 직결될 수 있는 핵심 지표로 꼽힌다. EER 역시 낮을수록 전반적인 인증 성능이 우수한 시스템으로 평가된다.
최근 상용 지문인식 장비의 FAR은 일반 출입통제·모바일 환경 기준으로 10⁻⁵~10⁻³수준이고, 고보안 장비의 경우 10⁻⁶ 수준까지 낮아진 것으로 알려져 있다. 이는 다른 사람을 본인으로 잘못 받아들일 확률이 수만 분의 1에서 수백만 분의 1 수준이라는 의미다. FRR은 통상 0.1~1% 내외로, 사용자의 손 상태나 습기·오염 등 환경 조건에 따라 변동 폭이 비교적 큰 편이다.
지문인식은 짧은 인증 시간과 높은 처리 효율을 동시에 확보했다는 점에서 대규모 구축 환경에 적합한 기술로 꼽힌다. 수초 이내 인증이 가능한 처리 속도와 반복 사용에도 성능 편차가 크지 않은 안정성은 금융·공공·기업 환경 전반에서 표준 인증 수단으로 채택되는 데 중요한 역할을 했다. 사용 방식이 직관적이고 학습 부담이 적어 연령과 숙련도에 관계없이 쉽게 활용할 수 있다는 점 역시 현장 확산을 가속화했다.
기술 성숙도와 함께 비용 구조 측면에서도 지문인식은 경쟁력을 확보해 왔다. 센서와 모듈의 대중화로 하드웨어 단가가 빠르게 낮아졌고, 대규모 구축과 유지·운영 환경에서도 상대적으로 경제성이 높다는 점이 장점으로 작용했다. 이러한 특성은 다양한 규모의 현장에 적용 가능성을 넓히며 지문인식을 가장 보편적인 생체인식 기술로 자리매김하게 만들었다.
업계 역시 지문인식 시장의 성장 배경으로 ‘기술 안정성’과 ‘비용 효율성’을 동시에 꼽고 있다. 이러한 기반 위에서 국내 지문인식 시장은 안정적인 수요가 유지되는 성숙 단계에 접어들고 있다는 평가다.
성현시스템은 “지문인식 시장이 빠르게 성장할 수 있었던 가장 큰 배경은 기술 안정성과 비용 효율성의 균형”이라며 “오랜 기간 현장에서 검증된 기술로, 인식률·속도·내구성 측면에서 신뢰를 확보했고 센서 및 모듈의 대중화로 도입 비용이 상대적으로 낮아 다양한 규모의 현장에 적용이 가능했다”고 설명했다.
슈프리마는 “높은 정확도, 사용 편의성, 비용 효율성을 동시에 갖춘 점이 시장 성장의 핵심 배경으로, 표준화와 제도적 수용도가 빠르게 진행됐다”며 “안정적인 수요가 지속돼 성숙기에 접어든 시장은 최근 높은 신뢰가 필요한 인증 분야를 중심으로 점진적인 확장이 이어지고 있다”고 밝혔다.
성숙 단계 지문인식, 무게중심도 유지보수로 이동
성숙 단계에 도달한 지문인식 시장은 새로운 성장 동력을 찾기 위한 기술 고도화와 적용 영역 확대가 본격화되고 있다. 신규 시장 유입보다는 기존 구축 시스템의 유지보수 영역으로 지문인식 시장의 무게중심이 이동하고 있기 때문이다.
성현시스템은 “코로나19 팬데믹을 거치며 기하급수적으로 성장했던 생체인식 시장에서 지문인식은 이미 성숙 단계에 접어들었다”며 “매출에서 지문인식 솔루션 비중은 여전히 높지만, 신규 설치보다는 기존 지문인식 시스템에 대한 유지보수 문의가 더 많이 들어오고 있다”고 말했다.
업계에서는 향후 지문인식 기술의 차별화 포인트가 인식 정확도에서 위·변조 탐지와 실제 사람의 생체 반응인지를 구분하는 라이브니스(Liveness) 검증 등 보안 수준을 얼마나 고도화하느냐에 달려 있다고 보고 있다. 여기에 위생성과 사용자 편의성을 강화한 비접촉식 지문인식 기술은 공공·의료·대규모 출입 환경을 중심으로 새로운 경쟁력으로 부상하고 있다.
기술 진화의 방향도 단일 인증 장치를 넘어 플랫폼·시스템 중심 구조로 이동하고 있다. 얼굴·정맥 등 다른 생체인식 기술과의 멀티모달 연동, 출입통제·근태·보안 플랫폼과의 통합 완성도, 모바일 인증과의 연계 구조가 중요한 경쟁 요소로 부각되고 있다. 개인정보 보호 규제 강화에 대응한 암호화 기술, 인증·보안 규제 대응 역량 역시 향후 시장에서 핵심 차별화 요소로 평가된다.
ZKTeco는 “고보안이 요구되는 중소·중견기업의 내부 통제와 산업·현장 안전관리 영역”이라고 말하며 “또한 모바일·PC 로그인을 넘어 디지털 신원(Digital ID) 기반의 업무 시스템, 전자결재, 내부 정보 접근통제 등으로 활용 범위가 확장될 것으로 예상된다”고 분석했다. 이어 “정맥·얼굴 등 다른 생체인식과 결합된 멀티모달 형태로 헬스케어, 스마트시티, 공공 서비스 분야에서 새로운 성장 기회를 확보할 수 있을 것으로 보인다”고 덧붙였다.
지문인식이 여전히 ‘책임성과 의도성’이 요구되는 영역에서 강점을 유지하고 있다는 점도 주목된다. 슈프리마는 “제조·물류·건설 등 현장 중심 산업과 금융·공공 분야의 고신뢰 본인확인, 의료·안전 관리 영역에서는 대리 사용이나 강제 인증이 어려운 지문인식이 최종 인증 수단으로 필요할 것”이라고 분석했다. 이에 따라 지문인식 기술의 시장 가치는 단순한 출입통제를 넘어 누가, 언제, 어떤 권한으로 이용했는지를 명확히 기록하는 책임성 중심 구조로 이동할 것으로 보인다.
지문인식은 이러한 영역에서 여전히 신뢰도 높은 인증 수단으로 기능하며, 모바일 인증과 결합한 혼합형 인증 환경에서도 전체 보안 수준을 한 단계 끌어올리는 핵심 요소로 활용될 전망이다.
정맥인식, 가장 낮은 오인인증률의 생체인증
지문인식이 생체인증의 대표 기술로 보편화된 가운데, 정맥인식은 높은 수준의 보안 인증 방식으로 주목받고 있다. 장정맥인 손바닥 정맥(Palm Vein) 분야에서 상용화가 진행된 후, 손가락 정맥(Finger Vein), 손등 정맥(Hand Vein) 등으로 응용이 확장되며, 금융·공공·의료 등 고신뢰 인증이 요구되는 영역을 중심으로 차세대 핵심 생체인증 기술로 자리매김하고 있다.
정맥인식은 내부 생체 정보를 활용하는 구조적 특성상, 오인인증률(FAR) 측면에서 생체인증 기술 가운데 가장 높은 수준의 성능을 보이는 기술로 평가된다. 정맥인식의 FAR은 약 10⁻⁶~10⁻⁷ 수준으로, 이는 비인가 사용자가 인증을 통과할 확률이 수백만 분의 1에서 수천만 분의 1에 불과하다는 의미다. 여기에 실제 운용 환경에서도 조명·피부 상태·오염 등의 영향을 상대적으로 덜 받으며, 위·변조 내성 역시 안정적인 수준을 유지하는 것으로 평가받고 있다.
외부 노출이 거의 없는 내부 혈관 구조를 기반으로 하기 때문에 환경 변화와 표면 손상에 따른 성능 저하가 적고, 복제 공격에 대한 구조적 내성이 높다는 점에서 금융·중요시설 등 높은 보안 수준을 요구하는 환경에서 선호하는 방식이다.
한편 지난해 말 한국인터넷진흥원(KISA)이 생체인식 시스템 성능시험·인증제도에 장정맥을 새롭게 추가했다. 기존 지문, 얼굴, 홍채 중심의 평가 체계에서 정맥인식이 공식 편입되면서 기술 신뢰성과 공공·금융권 도입을 뒷받침할 제도적 기반이 마련됐다는 평가다. 업계는 인증 기준을 충족한 제품 중심으로 시장이 재편돼 기술 고도화는 물론 정맥인식 시장이 본격적으로 성장할 것으로 기대하고 있다.
가장 안전하지만 높은 구축 비용이 도입 확산에 부담
정맥인식 기술은 보안성과 정확도 측면에서 긍정적인 평가를 받고 있지만, 아직 시장이 보편화 단계에는 이르지 못하고 있다. 여기에는 △높은 구축 비용 △장치 호환성 및 소형화 문제 △낮은 인지도 및 제한적인 시장 침투율 등이 주요 요인으로 작용하고 있는 것으로 보인다.
정맥인식 시스템은 센서, 광원, 영상처리장비 등 하드웨어 구성이 복잡하고, 소프트웨어 통합과 서버 인프라 구축, 운영 인력 교육까지 포함돼 초기 투자 부담이 크다. 일부 시장 조사에 따르면 정맥인식 도입 비용은 지문인식 대비 수십 퍼센트 이상 높은 수준으로 형성돼 있다.
연간 유지 비용 역시 만만치않아 금융·중요시설 중심의 제한적 도입에 머물러 있고, 중소기업 등으로의 확산은 더딘 상황이다.
기술 구조상 호환성과 소형화 한계도 시장 확산을 가로막는 요인이다. 정맥 패턴은 3차원 혈관 구조를 기반으로 하기 때문에 촬영 각도와 광원 방식, 센서 구조에 따라 데이터 형태가 달라지고 제조사별 장비 간 상호 운용성이 낮다는 지적이다. 또한 촬영 영역이 지문보다 크고 보조 기구가 필요한 점도 모바일 단말이나 소형 출입 단말로의 확산을 어렵게 만드는 요인으로 꼽힌다.
낮은 인지도와 제한적인 시장 침투율 역시 정맥인식 확산의 주요 걸림돌이다. 지문·얼굴·홍채인식에 비해 일반 사용자 인지도가 낮고, 적용 사례도 금융과 공항 등 일부 영역에 집중돼 있어 일상 환경에서 접할 기회가 많지 않다.
ZKTeco는 “높은 도입 비용 및 전문 하드웨어 필요성 때문에 중소 규모 환경에서 도입을 주저하거나, 시스템 통합·교육·운영 지원과 같은 추가 부담이 꾸준히 지적되고 있다”며 “나아가 일부 사용자들은 정맥인식 기술에 대한 인식이 부족해 설득이 필요해 보인다”고 설명했다.
생체인증, 완전한 안전은 가능한가
생체인증 기술이 고도화되는 만큼 위·변조를 둘러싼 보안 논쟁 역시 다시 고개를 들고 있다. 지문인식은 물론, 높은 보안성을 강점으로 내세워 온 정맥인식 역시 ‘완전한 위조 불가능 기술’로 단정하기 어렵다는 지적이 이어지고 있다.
2021년 11월 신분증 사본에서 지문을 떠 실리콘 지문을 제작한 뒤, 이를 이용해 부동산 거래를 시도한 사기 사건이 발생했다. 여기에 공용 단말이나 출입문 센서 표면에 남은 잠재지문(Latent Print)을 고해상도로 촬영·스캔해 위조지문을 제작하거나 스마트폰에서 지문 매칭 시도를 무제한으로 반복하게 만드는 ‘BrutePrint’ 공격, 센서 인터페이스를 조작해 사전에 준비한 지문 데이터를 지속적으로 주입하는 방식 등 지문인식 위·변조 가능성이 연구와 실험을 통해 여러 차례 확인되면서 지문인식 구조적 한계에 대한 논쟁이 다시 고개를 들고 있다.
정맥인식 역시 위·변조의 논란에서 자유롭지 않다. 정맥인식의 핵심 경쟁력은 ‘복제가 불가능한 체내 정보’라는 점이다. 근적외선(NIR)을 이용해 손가락이나 손바닥 내부 혈관 패턴을 촬영하고 이를 인증에 활용하는 방식으로, 외부에서 육안으로 확인할 수 없어 위조 위험이 낮다는 평가를 받아왔지만 이러한 인식에 대한 반론도 제기되고 있다.
일부 연구에서 고해상도 적외선 영상과 3D 프린팅, 실리콘 필름 등을 활용해 혈관 패턴을 모사하는 실험 결과가 공개된 것이다. 실제 상용 환경에서의 공격 성공 가능성은 제한적이라는 평가가 많지만, ‘이론적으로 완전한 위조 불가는 아니다’라는 점이 학술적으로 입증된 셈이다.
템플릿과 생체정보 책임 문제, 유출 이후를 묻다
지문인식과 정맥인식 모두 한 번 유출되거나 위조되면 다른 서비스까지 연쇄적으로 침해될 가능성이 크고, 비밀번호나 PIN과 달리 변경이나 재발급이 불가능하다는 치명적인 단점을 안고 있다.
이러한 한계를 보완하기 위한 대안으로 떠오른 개념이 바로 ‘템플릿’(Template)이다. 생체인식에서의 템플릿은 원본 이미지를 그대로 저장하지 않고 모양, 위치, 패턴 등 특장점을 추출해 수학적·디지털 값으로 변환한 데이터다. 유출되더라도 즉시 다른 서비스 인증에 사용하기 어렵고, 폐기 후 다른 형태로 재발급(재생성)할 수 없다는 점에서 재사용 문제를 완화할 수 있다.
그러나 템플릿도 생체인식 유출 논쟁에서 완전히 자유롭지는 않았다. 2015년 전후 학계를 중심으로 템플릿 관리 방식에 대한 문제 제기가 이어진 것. 템플릿이 역시 원본 이미지가 아니더라도 특정 개인을 식별할 수 있다면 민감정보에 해당할 수 있다는 주장이 힘을 얻기 시작했다.
특히 생체정보 유출 시 책임 범위를 둘러싼 법·제도 논의는 국제 규범과 각국 법체계에서 점점 구체화되는 흐름이 주장을 뒷받침한다. 2008년 미국 일리노이주에서 제정된 BIPA(Biometric Information Privacy Act)는 생체정보 처리에 대한 기업 책임을 명문화했다. 이후 FaceBook, Google, TikTok 등 굵직한 BIPA 집단소송과 합의가 이어지면서 생체정보 수집·보관·폐기 전반에 대한 기업의 민사 책임 범위가 실제 판례를 통해 구체화됐다.
2018년 시행된 EU 일반개인정보보호규정(GDPR)은 생체정보를 ‘민감정보’로 규정하고, 사고 발생 시 통지 의무와 과징금, 손해배상까지 포함하는 포괄적 책임 체계를 마련했다.
국내에서도 2023년 개인정보보호법 개정에서 생체 데이터를 민감정보 유형으로 명시한 후 설계·관리·사고 대응 전반에 대한 보호 의무를 강화했다. 이처럼 생체정보가 법적으로 ‘민감정보’로 분류되자 원본 여부와 관계없이 식별 가능성이 있다면 모두 보호 대상이라는 해석에 점차 무게가 실리고 있다.
여기에 2023년 글로벌 사이버보안 기업 노드VPN(NordVPN)이 다크웹에서 8만1000건 이상의 지문 관련 정보 유출 정황을 확인했다고 밝히면서 템플릿 관리 위험성에 대한 경각심이 다시 커졌다.
지문은 가장 ‘익숙’, 정맥은 가장 ‘안전’
지문인식은 여전히 가장 널리 사용되는 인증 수단으로 자리 잡고 있는 반면, 보안 수준 측면에서는 정맥인식이 가장 신뢰받는 기술로 인식되고 있는 것으로 나타났다.
<시큐리티월드>와 <보안뉴스>가 1월 14일부터 19일까지 온라인 회원 388명을 대상으로 실시한 ‘생체인증 기술 인식 설문조사’ 결과, 지문인식은 일상 인증 수단으로 활용도가 높고 정맥인식은 고신뢰 인증 기술로 인식되는 경향이 뚜렷했다.
우선 97.9%의 응답자가 지문인식을 사용해본 경험이 있다고 답해 지문인식의 보편성을 다시 한번 확인했다. 사용처를 묻는 질문(복수응답)에서는 ‘스마트폰 잠금 해제’가 77.3%로 가장 높은 응답률을 기록했다. 이어 ‘회사나 학교 등의 출입통제 시스템’이 56.2%, ‘공항 출입국 심사’ 35.1%, ‘금융 서비스’ 26.3% 순으로 나타났다. 생활 밀착형 인증 수단으로 자리 잡은 스마트폰 중심 사용 구조와 함께 출입통제와 공항·금융 등 주요 인증 환경 전반에서 지문인식이 폭넓게 활용되고 있음을 보여준다.
지문인식 기반 멀티모달 인증 조합 가운데 가장 편리하다고 생각하는 방식으로는 ‘지문+얼굴인식’이 45.4%로 가장 높게 나타났다. 이어 ‘지문+정맥인식’이 22.2%, ‘지문+PIN번호’ 15.9%, ‘지문+홍채인식’ 9.3% 순이었다. 편의성과 인식 속도를 중시하는 사용자들이 얼굴인식과의 조합을 가장 선호하는 한편, 보안 강화를 목적으로 정맥인식을 결합하는 수요도 적지 않은 것으로 분석된다.
지문인식의 보안 수준에 대한 인식은 다소 엇갈렸다. ‘다른 생체인식 방식과 비슷할 것’이라는 응답이 44.9%로 가장 많았고, ‘더 낮을 것’이라는 응답도 31.4%에 달했다. ‘더 높다’는 응답은 23.7%에 그쳤다. 지문인식이 가장 보편적인 인증 수단임에도 불구하고, 보안 수준에 대해서는 상대적으로 보수적인 평가가 우세한 셈이다.
정맥인식 사용 경험을 묻는 질문에서는 응답자의 63.4%가 ‘사용해 본 적 있다’고 답해 상당수 사용자가 정맥인식 환경을 경험한 것으로 나타났다. 주요 활용 분야로는 ‘회사나 학교 등의 출입통제 시스템’이 29.9%로 가장 높았고, ‘공항 출입국 심사’ 26.6%, ‘금융 서비스’ 23.2%, ‘무인매장’ 19.6% 순이었다. 고신뢰 인증이 요구되는 환경을 중심으로 적용이 확대되고 있는 흐름이 반영됐다.
정맥인식 기반 멀티모달 조합 선호도에서는 ‘정맥+얼굴인식’과 ‘정맥+지문인식’이 각각 29.9%로 공동 1위를 기록했다. 이어 ‘정맥+PIN번호’ 17.6%, ‘정맥+홍채인식’ 14.9% 순으로 나타났다. 정맥인식을 중심으로 얼굴·지문 등 대중적 인증 수단을 결합하는 방식이 사용자에게 가장 자연스럽게 받아들여지고 있는 것으로 풀이된다.
정맥인식의 보안 수준에 대한 평가는 매우 긍정적이었다. ‘다른 생체인식 방식보다 보안 수준이 더 높다’는 응답이 59.8%로 과반을 넘었고, ‘비슷하다’는 응답은 33.0%였다. ‘더 낮다’는 응답은 7.2%에 불과했다. 이는 정맥인식이 위·변조 내성과 정확도 측면에서 높은 신뢰를 받고 있음을 보여준다
생체인증의 미래는 ‘완벽’이 아니라 ‘복원력’
한 번 유출되면 되돌릴 수 없는 생체정보의 한계를 극복할 방법은 없을까. 업계는 다양한 보완책을 마련하며 생체인증의 위험도를 낮추는 방향으로 진화하고 있다. 핵심은 ‘단일 생체정보에 의존하지 않는 구조’와 ‘유출돼도 피해를 최소화하는 설계’다.
우선 하드웨어 차원에서는 위·변조 탐지를 위한 라이브니스 검출 기술이 빠르게 고도화되고 있다. 라이브니스 검출은 지문이나 얼굴, 정맥 등 생체정보가 ‘실제 살아있는 사람의 신체’에서 나온 것인지, 아니면 실리콘이나 사진, 영상, 모형 등 위조 매체인지 구분하기 위한 기술이다. 기존에는 지문이나 혈관 이미지를 단순히 비교하는 수준이었지만, 이제는 혈류, 심박, 피부 조직 반응과 미세 온도 변화 등을 함께 분석해 판단할 정도로 발전했다.
지문과 정맥, 얼굴 등 서로 다른 생체정보를 결합한 ‘멀티모달’(Multimodal) 인증도 대표적인 대안으로 꼽힌다. 단일 생체정보에 의존하는 방식과 달리 두 가지 이상 생체정보를 동시에 활용하거나 단계적으로 결합함으로써 하나의 인증 수단이 위조되더라도 다른 인증 요소가 이를 보완해 전체 인증 체계가 무력화되는 것을 막는다. 이렇듯 멀티모달 인증의 핵심은 ‘위험 분산’에 있다.
멀티모달 인증은 위·변조 대응뿐 아니라 인식 오류를 줄이는 효과도 있다. 특정 환경이나 사용자 조건에서 하나의 생체정보 인식률이 떨어지면 다른 생체정보가 이를 보완해 전체 인증 성공률을 높인다. 예를 들어 노령자나 피부 손상, 혈류 변화 등으로 지문 인식률이 낮은 경우 정맥이 대안으로 작동하는 식이다.
템플릿 자체를 암호화하고, 서비스마다 서로 다른 형태로 변환해 저장하는 기술도 확산되고 있다. 이 기술은 하나의 템플릿이 유출되더라도 다른 서비스 인증에 재사용할 수 없도록 설계하는 방식이다. 유출 시 해당 템플릿을 폐기하고 새로운 형태로 재생성하는 기술도 연구와 일부 상용화가 진행 중이며, 이는 업계가 지향하는 생체정보 보호 방향으로 주목받고 있다.
성현시스템은 “현재 대부분의 생체인식 정보는 서버가 아니라 장치 내부에 저장되며, 지문 정보 역시 템플릿 형태로 암호화돼 관리되고 있다”며 “설령 데이터가 유출되더라도 전용 소프트웨어 없이는 활용이 어렵고, 다른 시스템에서 그대로 사용할 수도 없도록 서로 다른 방식으로 설계돼 있다”고 말했다.
생체인증의 미래는 ‘완벽한 위조 방지’가 아니라 ‘사고 발생 이후에도 시스템 전체가 무너지지 않도록 설계하는 방향’에 있는 것으로 보인다. 위·변조 가능성을 전제로 하되, 피해 범위를 최소화하고 빠르게 회복할 수 있는 구조를 만드는 것이 관건이라는 분석이다.
[강초희 기자(sw@boannews.com)]
단일 생체정보 의존을 넘어 멀티모달·템플릿 보호 중심의 복원력 설계 중요성
[보안뉴스 강초희 기자] 생체정보는 개인에게 고유하며, 한 번 유출되면 다시 발급하기 어려운 데이터다. 사용이 편리한 만큼 단 한 번의 관리 실패가 곧바로 신뢰 붕괴로 이어질 수 있다는 뜻이기도 하며, 최근 생체인증을 둘러싼 보안과 개인정보 논의가 활발해진 배경이기도 하다.
이 과정에서 지문인식과 정맥인식은 서로 다른 위치에서 각기 다른 질문을 받고 있다. 가장 널리 쓰이는 지문인식은 대규모 확산 이후의 관리 책임과 사고 대응이라는 과제를 마주하고 있고, 정맥인식은 높은 보안 수준이 요구되는 환경에서의 활용을 넘어 얼마나 폭넓게 적용될 수 있는지가 시험대에 올랐다.
[출처: gettyimagesbank]
생체정보는 편리한 인증 수단이지만, 한 번 유출되면 되돌리기 어렵다는 점에서 ‘최고 수준의 민감정보’로 분류된다. 비밀번호처럼 바꾸거나 재발급할 수 없기 때문이다. 보안 업계에서 생체인증을 바라보는 시선이 기술 성능보다 관리 책임과 사고 대응 체계로 옮겨간 배경도 여기에 있다.
지문인식은 스마트폰과 출입통제 환경을 중심으로 가장 널리 확산되며 사실상 표준 인증 수단으로 자리 잡았지만, 대규모 운영 과정에서 발생할 수 있는 위·변조 시도, 오인식, 데이터 관리 실패에 어떻게 대응할지가 과제로 떠올랐다. 반면 정맥인식은 내부 혈관 패턴을 활용해 보안성과 정확도 측면에서 높은 평가를 받으면서도 높은 구축 비용과 운영 부담, 낮은 인지도 등으로 인해 어디까지 적용 범위를 얼마나 확장할 수 있을지가 관건으로 떠오르고 있다.
언제나 그렇듯 기술은 빠르게 고도화되고 있다. 센서와 알고리즘 성능은 상향 평준화 단계에 접어들었고 라이브니스 검증과 멀티모달 결합, 온디바이스 처리와 암호화 등 보호 기술도 동시에 발전하고 있다. 다만 아직까지 ‘완벽한 위조 불가’라는 표현은 조심스러운 게 사실이다. 그 대신 위협 가능성을 전제로 한 설계와 사고 이후 대응 체계의 중요성에 더 무게를 두고 있다.
지문인식, 생체인식 대중화의 주역
지문인식은 생체인식 기술 가운데 가장 먼저 대중화에 성공한 기술로, 현재까지도 가장 널리 사용되는 인증 방식으로 자리 잡고 있다. 스마트폰 잠금 해제부터 금융권 본인 확인, 공공기관 출입통제, 기업 보안 시스템에 이르기까지 적용 범위는 매우 광범위하다.
초기에는 인식 정확도와 위·변조 가능성에 대한 우려도 적지 않았지만, 센서 성능과 매칭 알고리즘이 지속적으로 고도화되면서 기술 신뢰도는 빠르게 개선됐다. 최근에는 고해상도 센서와 딥러닝 기반 매칭 기술이 적용되며 오인식률이 크게 낮아졌고, 대규모 사용자 환경에서도 안정적인 인증이 가능한 수준까지 기술 성숙도가 높아졌다는 평가다.
▲FAR, FRR, EER과 생체인증 시스템의 보안 수준 간 관계 [출처: 보안뉴스]
보안 업계에서 생체인식의 정확도는 단순 인식 성공률이 아니라 오인식 가능성을 중심으로 평가된다. 대표적인 지표는 오인인증률(FAR: False Acceptance Rate)과 오인거부율(FRR: False Rejection Rate) 그리고 두 수치가 같아지는 지점인 EER(Equal Error Rate)이다. 이 가운데 FAR는 보안 사고로 직결될 수 있는 핵심 지표로 꼽힌다. EER 역시 낮을수록 전반적인 인증 성능이 우수한 시스템으로 평가된다.
최근 상용 지문인식 장비의 FAR은 일반 출입통제·모바일 환경 기준으로 10⁻⁵~10⁻³수준이고, 고보안 장비의 경우 10⁻⁶ 수준까지 낮아진 것으로 알려져 있다. 이는 다른 사람을 본인으로 잘못 받아들일 확률이 수만 분의 1에서 수백만 분의 1 수준이라는 의미다. FRR은 통상 0.1~1% 내외로, 사용자의 손 상태나 습기·오염 등 환경 조건에 따라 변동 폭이 비교적 큰 편이다.
지문인식은 짧은 인증 시간과 높은 처리 효율을 동시에 확보했다는 점에서 대규모 구축 환경에 적합한 기술로 꼽힌다. 수초 이내 인증이 가능한 처리 속도와 반복 사용에도 성능 편차가 크지 않은 안정성은 금융·공공·기업 환경 전반에서 표준 인증 수단으로 채택되는 데 중요한 역할을 했다. 사용 방식이 직관적이고 학습 부담이 적어 연령과 숙련도에 관계없이 쉽게 활용할 수 있다는 점 역시 현장 확산을 가속화했다.
기술 성숙도와 함께 비용 구조 측면에서도 지문인식은 경쟁력을 확보해 왔다. 센서와 모듈의 대중화로 하드웨어 단가가 빠르게 낮아졌고, 대규모 구축과 유지·운영 환경에서도 상대적으로 경제성이 높다는 점이 장점으로 작용했다. 이러한 특성은 다양한 규모의 현장에 적용 가능성을 넓히며 지문인식을 가장 보편적인 생체인식 기술로 자리매김하게 만들었다.
업계 역시 지문인식 시장의 성장 배경으로 ‘기술 안정성’과 ‘비용 효율성’을 동시에 꼽고 있다. 이러한 기반 위에서 국내 지문인식 시장은 안정적인 수요가 유지되는 성숙 단계에 접어들고 있다는 평가다.
성현시스템은 “지문인식 시장이 빠르게 성장할 수 있었던 가장 큰 배경은 기술 안정성과 비용 효율성의 균형”이라며 “오랜 기간 현장에서 검증된 기술로, 인식률·속도·내구성 측면에서 신뢰를 확보했고 센서 및 모듈의 대중화로 도입 비용이 상대적으로 낮아 다양한 규모의 현장에 적용이 가능했다”고 설명했다.
슈프리마는 “높은 정확도, 사용 편의성, 비용 효율성을 동시에 갖춘 점이 시장 성장의 핵심 배경으로, 표준화와 제도적 수용도가 빠르게 진행됐다”며 “안정적인 수요가 지속돼 성숙기에 접어든 시장은 최근 높은 신뢰가 필요한 인증 분야를 중심으로 점진적인 확장이 이어지고 있다”고 밝혔다.
성숙 단계 지문인식, 무게중심도 유지보수로 이동
성숙 단계에 도달한 지문인식 시장은 새로운 성장 동력을 찾기 위한 기술 고도화와 적용 영역 확대가 본격화되고 있다. 신규 시장 유입보다는 기존 구축 시스템의 유지보수 영역으로 지문인식 시장의 무게중심이 이동하고 있기 때문이다.
▲국내 대표 지문·정맥인식 제품&솔루션 [자료: 각 사 제공, 정리: 시큐리티월드·보안뉴스]
성현시스템은 “코로나19 팬데믹을 거치며 기하급수적으로 성장했던 생체인식 시장에서 지문인식은 이미 성숙 단계에 접어들었다”며 “매출에서 지문인식 솔루션 비중은 여전히 높지만, 신규 설치보다는 기존 지문인식 시스템에 대한 유지보수 문의가 더 많이 들어오고 있다”고 말했다.
업계에서는 향후 지문인식 기술의 차별화 포인트가 인식 정확도에서 위·변조 탐지와 실제 사람의 생체 반응인지를 구분하는 라이브니스(Liveness) 검증 등 보안 수준을 얼마나 고도화하느냐에 달려 있다고 보고 있다. 여기에 위생성과 사용자 편의성을 강화한 비접촉식 지문인식 기술은 공공·의료·대규모 출입 환경을 중심으로 새로운 경쟁력으로 부상하고 있다.
기술 진화의 방향도 단일 인증 장치를 넘어 플랫폼·시스템 중심 구조로 이동하고 있다. 얼굴·정맥 등 다른 생체인식 기술과의 멀티모달 연동, 출입통제·근태·보안 플랫폼과의 통합 완성도, 모바일 인증과의 연계 구조가 중요한 경쟁 요소로 부각되고 있다. 개인정보 보호 규제 강화에 대응한 암호화 기술, 인증·보안 규제 대응 역량 역시 향후 시장에서 핵심 차별화 요소로 평가된다.
ZKTeco는 “고보안이 요구되는 중소·중견기업의 내부 통제와 산업·현장 안전관리 영역”이라고 말하며 “또한 모바일·PC 로그인을 넘어 디지털 신원(Digital ID) 기반의 업무 시스템, 전자결재, 내부 정보 접근통제 등으로 활용 범위가 확장될 것으로 예상된다”고 분석했다. 이어 “정맥·얼굴 등 다른 생체인식과 결합된 멀티모달 형태로 헬스케어, 스마트시티, 공공 서비스 분야에서 새로운 성장 기회를 확보할 수 있을 것으로 보인다”고 덧붙였다.
지문인식이 여전히 ‘책임성과 의도성’이 요구되는 영역에서 강점을 유지하고 있다는 점도 주목된다. 슈프리마는 “제조·물류·건설 등 현장 중심 산업과 금융·공공 분야의 고신뢰 본인확인, 의료·안전 관리 영역에서는 대리 사용이나 강제 인증이 어려운 지문인식이 최종 인증 수단으로 필요할 것”이라고 분석했다. 이에 따라 지문인식 기술의 시장 가치는 단순한 출입통제를 넘어 누가, 언제, 어떤 권한으로 이용했는지를 명확히 기록하는 책임성 중심 구조로 이동할 것으로 보인다.
지문인식은 이러한 영역에서 여전히 신뢰도 높은 인증 수단으로 기능하며, 모바일 인증과 결합한 혼합형 인증 환경에서도 전체 보안 수준을 한 단계 끌어올리는 핵심 요소로 활용될 전망이다.
정맥인식, 가장 낮은 오인인증률의 생체인증
지문인식이 생체인증의 대표 기술로 보편화된 가운데, 정맥인식은 높은 수준의 보안 인증 방식으로 주목받고 있다. 장정맥인 손바닥 정맥(Palm Vein) 분야에서 상용화가 진행된 후, 손가락 정맥(Finger Vein), 손등 정맥(Hand Vein) 등으로 응용이 확장되며, 금융·공공·의료 등 고신뢰 인증이 요구되는 영역을 중심으로 차세대 핵심 생체인증 기술로 자리매김하고 있다.
정맥인식은 내부 생체 정보를 활용하는 구조적 특성상, 오인인증률(FAR) 측면에서 생체인증 기술 가운데 가장 높은 수준의 성능을 보이는 기술로 평가된다. 정맥인식의 FAR은 약 10⁻⁶~10⁻⁷ 수준으로, 이는 비인가 사용자가 인증을 통과할 확률이 수백만 분의 1에서 수천만 분의 1에 불과하다는 의미다. 여기에 실제 운용 환경에서도 조명·피부 상태·오염 등의 영향을 상대적으로 덜 받으며, 위·변조 내성 역시 안정적인 수준을 유지하는 것으로 평가받고 있다.
외부 노출이 거의 없는 내부 혈관 구조를 기반으로 하기 때문에 환경 변화와 표면 손상에 따른 성능 저하가 적고, 복제 공격에 대한 구조적 내성이 높다는 점에서 금융·중요시설 등 높은 보안 수준을 요구하는 환경에서 선호하는 방식이다.
한편 지난해 말 한국인터넷진흥원(KISA)이 생체인식 시스템 성능시험·인증제도에 장정맥을 새롭게 추가했다. 기존 지문, 얼굴, 홍채 중심의 평가 체계에서 정맥인식이 공식 편입되면서 기술 신뢰성과 공공·금융권 도입을 뒷받침할 제도적 기반이 마련됐다는 평가다. 업계는 인증 기준을 충족한 제품 중심으로 시장이 재편돼 기술 고도화는 물론 정맥인식 시장이 본격적으로 성장할 것으로 기대하고 있다.
가장 안전하지만 높은 구축 비용이 도입 확산에 부담
정맥인식 기술은 보안성과 정확도 측면에서 긍정적인 평가를 받고 있지만, 아직 시장이 보편화 단계에는 이르지 못하고 있다. 여기에는 △높은 구축 비용 △장치 호환성 및 소형화 문제 △낮은 인지도 및 제한적인 시장 침투율 등이 주요 요인으로 작용하고 있는 것으로 보인다.
▲국내 대표 지문·정맥인식 제품&솔루션 구축 사례 [자료: 각 사 제공, 정리: 시큐리티월드·보안뉴스]
정맥인식 시스템은 센서, 광원, 영상처리장비 등 하드웨어 구성이 복잡하고, 소프트웨어 통합과 서버 인프라 구축, 운영 인력 교육까지 포함돼 초기 투자 부담이 크다. 일부 시장 조사에 따르면 정맥인식 도입 비용은 지문인식 대비 수십 퍼센트 이상 높은 수준으로 형성돼 있다.
연간 유지 비용 역시 만만치않아 금융·중요시설 중심의 제한적 도입에 머물러 있고, 중소기업 등으로의 확산은 더딘 상황이다.
기술 구조상 호환성과 소형화 한계도 시장 확산을 가로막는 요인이다. 정맥 패턴은 3차원 혈관 구조를 기반으로 하기 때문에 촬영 각도와 광원 방식, 센서 구조에 따라 데이터 형태가 달라지고 제조사별 장비 간 상호 운용성이 낮다는 지적이다. 또한 촬영 영역이 지문보다 크고 보조 기구가 필요한 점도 모바일 단말이나 소형 출입 단말로의 확산을 어렵게 만드는 요인으로 꼽힌다.
낮은 인지도와 제한적인 시장 침투율 역시 정맥인식 확산의 주요 걸림돌이다. 지문·얼굴·홍채인식에 비해 일반 사용자 인지도가 낮고, 적용 사례도 금융과 공항 등 일부 영역에 집중돼 있어 일상 환경에서 접할 기회가 많지 않다.
ZKTeco는 “높은 도입 비용 및 전문 하드웨어 필요성 때문에 중소 규모 환경에서 도입을 주저하거나, 시스템 통합·교육·운영 지원과 같은 추가 부담이 꾸준히 지적되고 있다”며 “나아가 일부 사용자들은 정맥인식 기술에 대한 인식이 부족해 설득이 필요해 보인다”고 설명했다.
생체인증, 완전한 안전은 가능한가
생체인증 기술이 고도화되는 만큼 위·변조를 둘러싼 보안 논쟁 역시 다시 고개를 들고 있다. 지문인식은 물론, 높은 보안성을 강점으로 내세워 온 정맥인식 역시 ‘완전한 위조 불가능 기술’로 단정하기 어렵다는 지적이 이어지고 있다.
2021년 11월 신분증 사본에서 지문을 떠 실리콘 지문을 제작한 뒤, 이를 이용해 부동산 거래를 시도한 사기 사건이 발생했다. 여기에 공용 단말이나 출입문 센서 표면에 남은 잠재지문(Latent Print)을 고해상도로 촬영·스캔해 위조지문을 제작하거나 스마트폰에서 지문 매칭 시도를 무제한으로 반복하게 만드는 ‘BrutePrint’ 공격, 센서 인터페이스를 조작해 사전에 준비한 지문 데이터를 지속적으로 주입하는 방식 등 지문인식 위·변조 가능성이 연구와 실험을 통해 여러 차례 확인되면서 지문인식 구조적 한계에 대한 논쟁이 다시 고개를 들고 있다.
정맥인식 역시 위·변조의 논란에서 자유롭지 않다. 정맥인식의 핵심 경쟁력은 ‘복제가 불가능한 체내 정보’라는 점이다. 근적외선(NIR)을 이용해 손가락이나 손바닥 내부 혈관 패턴을 촬영하고 이를 인증에 활용하는 방식으로, 외부에서 육안으로 확인할 수 없어 위조 위험이 낮다는 평가를 받아왔지만 이러한 인식에 대한 반론도 제기되고 있다.
일부 연구에서 고해상도 적외선 영상과 3D 프린팅, 실리콘 필름 등을 활용해 혈관 패턴을 모사하는 실험 결과가 공개된 것이다. 실제 상용 환경에서의 공격 성공 가능성은 제한적이라는 평가가 많지만, ‘이론적으로 완전한 위조 불가는 아니다’라는 점이 학술적으로 입증된 셈이다.
템플릿과 생체정보 책임 문제, 유출 이후를 묻다
지문인식과 정맥인식 모두 한 번 유출되거나 위조되면 다른 서비스까지 연쇄적으로 침해될 가능성이 크고, 비밀번호나 PIN과 달리 변경이나 재발급이 불가능하다는 치명적인 단점을 안고 있다.
이러한 한계를 보완하기 위한 대안으로 떠오른 개념이 바로 ‘템플릿’(Template)이다. 생체인식에서의 템플릿은 원본 이미지를 그대로 저장하지 않고 모양, 위치, 패턴 등 특장점을 추출해 수학적·디지털 값으로 변환한 데이터다. 유출되더라도 즉시 다른 서비스 인증에 사용하기 어렵고, 폐기 후 다른 형태로 재발급(재생성)할 수 없다는 점에서 재사용 문제를 완화할 수 있다.
그러나 템플릿도 생체인식 유출 논쟁에서 완전히 자유롭지는 않았다. 2015년 전후 학계를 중심으로 템플릿 관리 방식에 대한 문제 제기가 이어진 것. 템플릿이 역시 원본 이미지가 아니더라도 특정 개인을 식별할 수 있다면 민감정보에 해당할 수 있다는 주장이 힘을 얻기 시작했다.
▲‘생체정보 유출 시 책임 범위 관련 법·제도’ 타임라인 [정리: 시큐리티월드·보안뉴스]
특히 생체정보 유출 시 책임 범위를 둘러싼 법·제도 논의는 국제 규범과 각국 법체계에서 점점 구체화되는 흐름이 주장을 뒷받침한다. 2008년 미국 일리노이주에서 제정된 BIPA(Biometric Information Privacy Act)는 생체정보 처리에 대한 기업 책임을 명문화했다. 이후 FaceBook, Google, TikTok 등 굵직한 BIPA 집단소송과 합의가 이어지면서 생체정보 수집·보관·폐기 전반에 대한 기업의 민사 책임 범위가 실제 판례를 통해 구체화됐다.
2018년 시행된 EU 일반개인정보보호규정(GDPR)은 생체정보를 ‘민감정보’로 규정하고, 사고 발생 시 통지 의무와 과징금, 손해배상까지 포함하는 포괄적 책임 체계를 마련했다.
국내에서도 2023년 개인정보보호법 개정에서 생체 데이터를 민감정보 유형으로 명시한 후 설계·관리·사고 대응 전반에 대한 보호 의무를 강화했다. 이처럼 생체정보가 법적으로 ‘민감정보’로 분류되자 원본 여부와 관계없이 식별 가능성이 있다면 모두 보호 대상이라는 해석에 점차 무게가 실리고 있다.
여기에 2023년 글로벌 사이버보안 기업 노드VPN(NordVPN)이 다크웹에서 8만1000건 이상의 지문 관련 정보 유출 정황을 확인했다고 밝히면서 템플릿 관리 위험성에 대한 경각심이 다시 커졌다.
지문은 가장 ‘익숙’, 정맥은 가장 ‘안전’
지문인식은 여전히 가장 널리 사용되는 인증 수단으로 자리 잡고 있는 반면, 보안 수준 측면에서는 정맥인식이 가장 신뢰받는 기술로 인식되고 있는 것으로 나타났다.
▲지문·정맥인식 기술 인식 설문조사 결과 [출처: 시큐리티월드·보안뉴스]
<시큐리티월드>와 <보안뉴스>가 1월 14일부터 19일까지 온라인 회원 388명을 대상으로 실시한 ‘생체인증 기술 인식 설문조사’ 결과, 지문인식은 일상 인증 수단으로 활용도가 높고 정맥인식은 고신뢰 인증 기술로 인식되는 경향이 뚜렷했다.
우선 97.9%의 응답자가 지문인식을 사용해본 경험이 있다고 답해 지문인식의 보편성을 다시 한번 확인했다. 사용처를 묻는 질문(복수응답)에서는 ‘스마트폰 잠금 해제’가 77.3%로 가장 높은 응답률을 기록했다. 이어 ‘회사나 학교 등의 출입통제 시스템’이 56.2%, ‘공항 출입국 심사’ 35.1%, ‘금융 서비스’ 26.3% 순으로 나타났다. 생활 밀착형 인증 수단으로 자리 잡은 스마트폰 중심 사용 구조와 함께 출입통제와 공항·금융 등 주요 인증 환경 전반에서 지문인식이 폭넓게 활용되고 있음을 보여준다.
지문인식 기반 멀티모달 인증 조합 가운데 가장 편리하다고 생각하는 방식으로는 ‘지문+얼굴인식’이 45.4%로 가장 높게 나타났다. 이어 ‘지문+정맥인식’이 22.2%, ‘지문+PIN번호’ 15.9%, ‘지문+홍채인식’ 9.3% 순이었다. 편의성과 인식 속도를 중시하는 사용자들이 얼굴인식과의 조합을 가장 선호하는 한편, 보안 강화를 목적으로 정맥인식을 결합하는 수요도 적지 않은 것으로 분석된다.
지문인식의 보안 수준에 대한 인식은 다소 엇갈렸다. ‘다른 생체인식 방식과 비슷할 것’이라는 응답이 44.9%로 가장 많았고, ‘더 낮을 것’이라는 응답도 31.4%에 달했다. ‘더 높다’는 응답은 23.7%에 그쳤다. 지문인식이 가장 보편적인 인증 수단임에도 불구하고, 보안 수준에 대해서는 상대적으로 보수적인 평가가 우세한 셈이다.
정맥인식 사용 경험을 묻는 질문에서는 응답자의 63.4%가 ‘사용해 본 적 있다’고 답해 상당수 사용자가 정맥인식 환경을 경험한 것으로 나타났다. 주요 활용 분야로는 ‘회사나 학교 등의 출입통제 시스템’이 29.9%로 가장 높았고, ‘공항 출입국 심사’ 26.6%, ‘금융 서비스’ 23.2%, ‘무인매장’ 19.6% 순이었다. 고신뢰 인증이 요구되는 환경을 중심으로 적용이 확대되고 있는 흐름이 반영됐다.
정맥인식 기반 멀티모달 조합 선호도에서는 ‘정맥+얼굴인식’과 ‘정맥+지문인식’이 각각 29.9%로 공동 1위를 기록했다. 이어 ‘정맥+PIN번호’ 17.6%, ‘정맥+홍채인식’ 14.9% 순으로 나타났다. 정맥인식을 중심으로 얼굴·지문 등 대중적 인증 수단을 결합하는 방식이 사용자에게 가장 자연스럽게 받아들여지고 있는 것으로 풀이된다.
정맥인식의 보안 수준에 대한 평가는 매우 긍정적이었다. ‘다른 생체인식 방식보다 보안 수준이 더 높다’는 응답이 59.8%로 과반을 넘었고, ‘비슷하다’는 응답은 33.0%였다. ‘더 낮다’는 응답은 7.2%에 불과했다. 이는 정맥인식이 위·변조 내성과 정확도 측면에서 높은 신뢰를 받고 있음을 보여준다
생체인증의 미래는 ‘완벽’이 아니라 ‘복원력’
한 번 유출되면 되돌릴 수 없는 생체정보의 한계를 극복할 방법은 없을까. 업계는 다양한 보완책을 마련하며 생체인증의 위험도를 낮추는 방향으로 진화하고 있다. 핵심은 ‘단일 생체정보에 의존하지 않는 구조’와 ‘유출돼도 피해를 최소화하는 설계’다.
우선 하드웨어 차원에서는 위·변조 탐지를 위한 라이브니스 검출 기술이 빠르게 고도화되고 있다. 라이브니스 검출은 지문이나 얼굴, 정맥 등 생체정보가 ‘실제 살아있는 사람의 신체’에서 나온 것인지, 아니면 실리콘이나 사진, 영상, 모형 등 위조 매체인지 구분하기 위한 기술이다. 기존에는 지문이나 혈관 이미지를 단순히 비교하는 수준이었지만, 이제는 혈류, 심박, 피부 조직 반응과 미세 온도 변화 등을 함께 분석해 판단할 정도로 발전했다.
지문과 정맥, 얼굴 등 서로 다른 생체정보를 결합한 ‘멀티모달’(Multimodal) 인증도 대표적인 대안으로 꼽힌다. 단일 생체정보에 의존하는 방식과 달리 두 가지 이상 생체정보를 동시에 활용하거나 단계적으로 결합함으로써 하나의 인증 수단이 위조되더라도 다른 인증 요소가 이를 보완해 전체 인증 체계가 무력화되는 것을 막는다. 이렇듯 멀티모달 인증의 핵심은 ‘위험 분산’에 있다.
멀티모달 인증은 위·변조 대응뿐 아니라 인식 오류를 줄이는 효과도 있다. 특정 환경이나 사용자 조건에서 하나의 생체정보 인식률이 떨어지면 다른 생체정보가 이를 보완해 전체 인증 성공률을 높인다. 예를 들어 노령자나 피부 손상, 혈류 변화 등으로 지문 인식률이 낮은 경우 정맥이 대안으로 작동하는 식이다.
템플릿 자체를 암호화하고, 서비스마다 서로 다른 형태로 변환해 저장하는 기술도 확산되고 있다. 이 기술은 하나의 템플릿이 유출되더라도 다른 서비스 인증에 재사용할 수 없도록 설계하는 방식이다. 유출 시 해당 템플릿을 폐기하고 새로운 형태로 재생성하는 기술도 연구와 일부 상용화가 진행 중이며, 이는 업계가 지향하는 생체정보 보호 방향으로 주목받고 있다.
성현시스템은 “현재 대부분의 생체인식 정보는 서버가 아니라 장치 내부에 저장되며, 지문 정보 역시 템플릿 형태로 암호화돼 관리되고 있다”며 “설령 데이터가 유출되더라도 전용 소프트웨어 없이는 활용이 어렵고, 다른 시스템에서 그대로 사용할 수도 없도록 서로 다른 방식으로 설계돼 있다”고 말했다.
생체인증의 미래는 ‘완벽한 위조 방지’가 아니라 ‘사고 발생 이후에도 시스템 전체가 무너지지 않도록 설계하는 방향’에 있는 것으로 보인다. 위·변조 가능성을 전제로 하되, 피해 범위를 최소화하고 빠르게 회복할 수 있는 구조를 만드는 것이 관건이라는 분석이다.
[강초희 기자(sw@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
강초희기자 기사보기
.gif)
.jpg)
