아이핀 고도화? 예산 확보와 업그레이드가 먼저

정부가 민간에게 들이대는 잣대, 스스로는 지키고 있나

[보안뉴스 민세아] 행정자치부(이하 행자부)에서 공공아이핀 75만건 부정발급 사태에 대한 대책을 마련하기 위해 ‘공공아이핀 부정발급 재발방지 종합대책 추진팀’을 결성했다. 행자부 측은 외부 보안전문업체를 통해 공공아이핀 시스템 구조 및 성능진단, 관리·운영상의 문제점 및 개선사항 검토 등 시스템 고도화 방안을 마련하겠다고 밝혔다.

민간아이핀은 사전에 대비해 막은 공격을 정부에서 운영하는 공공아이핀이 막지 못했다는 사실에 국민들에게 계속 질타받고 있는 상태다. 그렇다고 민간아이핀이 공공아이핀보다 무조건 안전하다고 말할 수도 없다. 문제는 아이핀 발급 시스템을 지속적으로 업그레이드하고 유지보수했느냐는 것이다.

해킹 기술은 나날이 눈부시게 발전한다. 그렇게 때문에 공격기술에 대한 유지보수와 업그레이드는 계속해서 이루어져야 한다. 민간아이핀은 영리를 목적으로 하기 때문에 유지보수나 업그레이드에 투자를 많이 할 수 밖에 없다. 그러나 공공아이핀은 시스템 구축, 확장에만 급급하고 유지보수까지는 예산이 뒷받침 되지 못하고 있다는 지적이다.

정보보호업체가 불만을 가지는 것이 바로 이 부분이다. 제품을 살 때 제값을 주고 사지도 않고, 공격기술을 패치하는 업그레이드에 대한 비용부담을 제대로 하지 않으려 하고, 사고가 나면 누구에게 책임을 물어야할 지도 애매하다.

현재 우리나라는 유지보수에 7~8% 비용을 책정하고 있지만 외국에서는 통상적으로 20% 이상의 비용을 지불한다. 정부가 내년부터 유지보수 비용을 15% 이상으로 책정하겠다 발표했지만 그전에 정부가 아이핀과 관련해서 유지보수 비용을 얼마나 책정하고 있었는지 되돌아볼 필요가 있다.

과다한 본인인증 문제, 주민번호 제도 개편의 시작점 될까

한국인터넷진흥원(KISA)에서 지난해 만 14세부터 59세까지의 인터넷 사용자 및 스마트폰 보유자 1,372명을 대상으로 설문조사를 실시한 결과 개인 인터넷 이용자의 88.6%는 아이핀을 인지하고 있으며, 아이핀을 인지하고 있는 사람의 73.5%는 아이핀을 발급받았고, 45.7%는 아이핀을 사용하고 있는 것으로 조사됐다.

▲KISA 개인정보보호수준 실태조사 중 본인인증 수단 인지 여부 및 평가 결과
(조사기간 : 2014년 11월 3일~17일)

주민번호 수집이 금지되면서 본인인증 수단의 대안으로 가장 주목받던 아이핀이었기 때문에 이를 사용하는 사용자들은 그 안전성을 믿고 사용했다고 볼 수 있다. 그러나 아이핀을 바탕으로 마이핀 발급까지 진행하고 있던 공공아이핀센터는 이번 사건으로 인해 큰 타격을 입었다.

게다가 해당 공격방식은 지난 2007년 통신사 해킹사고 등과 유사한 방식으로, 그간 유사 사례가 많았기 때문에 사전에 대비만 잘했다면 얼마든지 막을 수 있는 사태였다는 게 보안전문가들의 공통된 지적이다.

이와 관련해 한국지역정보개발원측은 “이번에 불법으로 발급된 75만건의 공공아이핀은 모두 삭제조치했으며, 기존에 이용중인 가입자들의 개인정보는 유출되지 않아 아이핀 이용에는 영향이 없다”고 공지했다.

그러나 일각에서는 공격자가 파라미터를 변조한 점, 중국어 버전 프로그램을 이용한 점, 단기간에 75만 건의 아이핀을 발급한 점, 2천여 개의 국내 IP를 동원했다는 점을 들면서 해커가 서버까지 침투했을 가능성을 제기하고 있다. 서버에 침투했다면 이번 아이핀 부정발급 피해자 이외에도 기존에 아이핀을 발급받은 사용자들의 아이핀이 유출됐을 가능성을 배제할 수 없기 때문이다.

이번 사태와 관련해 개인정보보호범국민운동본부(이하 범국본) 측은 “전 국민의 주민번호가 유출돼 있다시피 한 상황에서 주민번호만 있으면 발급이 가능한 점과 본인인증을 받아야 하는 인증값을 변조해 본인확인이 되지 않아도 아이핀 발급이 가능한 현행 시스템에 문제가 있다”며, “해당 시스템을 설계한 기관과 운영기관이 함께 책임져야 할 것”이라고 전했다.

또한 범국본 측은 “아이핀 시스템 개선과 함께 주민번호 제도 개편이라는 근본대책 마련을 위해 노력해야 한다”고 덧붙였다. 지난해 주민번호 제도를 개편해야 한다는 목소리가 계속해서 나왔지만 정부는 개편이 쉽지 않다는 이유를 들며 딱히 이렇다 할 움직임을 보이지 않았다.

지난해 카드3사 사태 이후 주민번호 개편을 위한 자문회의, 대책회의, 공청회 등이 개최됐지만, 지금까지 뾰족한 대안이 아직 나오지 않은 상황이다. 이번 사건 이후, 행자부에서 주민번호 일제정리를 실시할 계획으로 알려졌지만 근본적인 대책 마련은 쉽지 않아 보인다.

이번 공공아이핀 부정발급 사태로 인해 주민번호 제도 개편뿐만 아니라 본인인증 축소, 유지보수 비용에 대한 인식 개선 등 그동안 말도 많고 탈도 많았던 여러 문제들이 수면으로 떠오르게 됐다. 이번 사태가 그간 쌓였던 문제들을 하나씩 풀어나갈 수 있는 기회로 작용해야 할 것으로 보인다.
[민세아 기자(boan5@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)