ETRI, 스마트폰으로 피싱 방지한다

안전한 전자정부·금융 서비스 활용 ‘스마트채널 3’ 개발

[보안뉴스 김태형] 금융거래가 컴퓨터를 이용하는 것이 보편화 되면서 악의적인 목적으로 개인정보 침해는 물론 금융사고도 빈발하고 있다. 이에 간단히 스마트폰을 이용해 웹 브라우저 주소 창을 확인하고 로그인하는 기술이 국내 연구진에 의해 개발되어 안심할 수 있는 금융거래가 가능케 될 전망이다.

ETRI(한국전자통신연구원, 원장 김흥남)는 스마트폰을 이용한 안전한 인증 및 피싱 방지 기능을 제공하는 ‘스마트채널3’ 기술을 개발했다고 23일 밝혔다.

ETRI가 개발에 성공한 기술은 최근 사회적 이슈가 되고 있는 전자정부서비스, 금융서비스를 대상으로 하는 악성코드나 피싱(Phishing) 및 파밍(Pharming)공격을 걱정할 필요 없이 안전하게 인증할 수 있는 기술이다. 피싱으로 인한 지난해 상반기까지 피해액은 4만여건에 약 4천 4백억원에 달했다.

사용자는 해당 금융기관의 사이트에 접속해 팝업으로 띄워진 QR코드를 스마트폰으로 인식시켜 금융기관의 서버와 내 PC, 스마트폰을 동시에 인증하는 방식이다. 스마트폰에 인증정보를 입력하면 PC가 로그인 되고, 스마트폰으로 사진을 찍듯이 주소창을 찍으면 웹브라우저 주소가 진짜인지 확인도 가능하다.

ETRI는 이와 같은 본인 확인절차가 끝나면 최종 접속한 시간, 사용자 PC의 IP, 접속횟수 등도 스마트폰에 표시된다고 밝혔다. 패스워드를 직접 전송하지 않고 상호인증을 수행하기 때문에 안전하게 피싱과 파밍 공격을 차단할 수 있다.

향후 본 기술이 상용화 되면 해당 금융기관에서는 로그인시 또는 계좌이체시 위와 같은 절차를 거치게 될 것으로 연구진은 내다보고 있다. 아울러 본 기술을 이용케 되면 한 번 인식된 사용자 PC는 보안쿠키가 설치된다. 따라서 번거롭게 사용 시 마다 위 절차를 거치지 않고도 보안쿠키를 검증해 간편한 사용이 가능하다.

일부 SNS 계정에서 지원하는 자동 로그인 기능도 보안쿠키를 사용하지만 해커가 쿠키의 내용을 변조하거나 재사용하는 공격이 가능하다. 하지만 ETRI의 보안쿠키는 PC에 특화된 정보를 내장하고 있으며 스마트폰에서 매번 변경되는 보안키로 암호화 시켜 두었기 때문에 해커의 공격에 안전하다는 특징이 있다.

ETRI는 본 기술의 핵심이 사이트 URL을 카메라로 인식해 피싱 사이트인지 판별하는 기술과, 변조 및 재사용을 방지하는 보안쿠키라고 설명했다. 아울러 핵심기술에는 화면의 문자처리 및 이미지 프로세싱 기술과 투 채널 보안 프로토콜이 적용되었다고 밝혔다.

ETRI는 ‘스마트채널3’ 기술이 지난 2012년에 개발한 ‘스마트채널2’기술을 보다 고도화한 것으로, SSL(Secure Socket Layer) 인증과 보안쿠키를 활용, 피싱 방지 기능을 수행한다고 설명했다.

또한 HTTPS 주소를 스마트폰 카메라를 통해 인식하기 때문에, 피싱사이트 주소와의 일치 여부를 자동으로 검증한다. 마지막으로 보안쿠키를 사용하여 한번 사용자 PC로 등록한 경우에는 해당 쿠키를 스마트폰에서 매번 검증함으로써 해커가 쿠키를 탈취해 재사용하는 공격도 차단한다.

기존 피싱이나 파밍에 대한 대응방안으로 사용자의 부가적인 노력을 요구하는 방안들이 제시되었지만, 본 기술은 인증 절차 내에서 웹사이트 주소를 검증하는 단계가 포함되어있다. 스마트폰에서 웹사이트 주소의 HTTPS 포함 및 유사한 피싱사이트와의 비교를 동시에 수행하여, 정상 웹사이트 여부를 자동으로 검증한다.

진승헌 ETRI 사이버보안기반연구부장은 “이번에 개발한 스마트채널3 기술은 단순히 QR코드를 인식하여 서비스에 로그인한다는 개념만 인식하면 되기 때문에 매우 현실적이고 효과적인 피싱·파밍 방지 솔루션이다”라고 말했다.

조현숙 ETRI 사이버보안연구본부장도 “지난해 이후 온라인 피싱·파밍 공격피해가 폭증하고 있으며, 공격 기술도 매우 고도화되었다”면서 “현재 금융권이 추진 중인 지정PC·투채널 인증·SSL인증서와 병행하여 스마트채널3 기술이 활용된다면 보안성과 편의성 모두 만족될 것이다.”고 말했다.

한편, 이번 기술은 보안업체에 기술이전 되었으며, 추가적 이전도 협의중이다. 향후 금융기관 및 공공기관과 협의해, 웹사이트에 피싱 방지 및 사용자 인증 강화를 위한 시범서비스 및 상용화를 추진할 계획이다. IDC 보고서에 따르면 지난해 고도화 인증 시장규모는 약 8.3억불에 달한다는 보고다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)