카피캣의 쉬운 암호학

인증서 기술의 기반이 되는 공개키 알고리즘은 크게 전자서명의 기능과 암호화 기능으로 나뉠 수 있습니다. 따라서 인증서를 활용하는 기술 역시 전자서명과 암호화라는 큰 범주에서 세부용도가 결정된다고 생각하실 수 있습니다.

우선 우리나라에서 가장 많이 발급된 공인인증서를 살펴보도록 하겠습니다. 공인인증서는 전자서명법 체계에 의해 발급된 전자서명용 인증서를 말합니다. 전자서명법에서 공인인증서를 이용하여 전자서명한 것은 법적효력을 가지도록 규정하였기 때문에 전자거래, 공증 등의 용도에 활용하게 아주 적절합니다. 아울러 공인인증서의 특색있는 주민등록번호의 간접적 포함으로 본인확인의 기능을 함께 수행할 수 있습니다. 따라서 본인확인이 필요한 은행이나 전자거래 등에서 로그인 또는 결제 등을 수행할 때 공인인증서의 사용은 거의 필수적이라고 할 만큼 필수 불가결하다고 생각하셔도 좋습니다.

사설인증서는 공인인증서와는 달리 그 범위에 제한이 없고 법적인 구속대신 사적계약의 성격을 가지고 있기 때문에 그 종류와 이용범위도 무궁무진할 것으로 판단됩니다. 사적계약의 형태로 발급되고 있는 인증서는 너무 많기 때문에 일일이 언급하기는 힘들지만 여기서는 현재 많이 이용되고 있으며 사실상의 표준(de factor standard)으로 정착된 SSL 인증서, 코드사인 인증서, 보안메일 인증서에 대해 살펴보도록 하겠습니다.

SSL 인증서는 웹에서 서버 인증, 사용자 인증, 그리고 안전한 문서의 송수신을 위한 기능을 수행합니다. 대개의 경우에는 사용자 인증은 잘 이용되지 않고 서버 인증과 문서의 암복호에 이용되고 있다고 생각하시면 됩니다. 웹브라우저로 인터넷을 사용하시다 보면 로그인 화면에서 웹브라우저 하단의 상태표시줄에 노란색 자물쇠 그림이 나타나는 것을 보실 수 있을 것입니다. 이 표시가 현재의 웹페이지가 SSL 인증서를 사용하여 서버인증과 암복호화를 하고 있는 상태라는 것을 알려주는 것입니다. SSL 인증서를 사용하는 웹 프로토콜은 http 가 아니라 https 라고 통칭되며 주소창에 https:// 으로 시작됩니다. SSL 프로토콜을 사용하면 사용자가 접속한 웹서버의 주소가 SSL 인증서에 기재된 주소와 다를 경우 경고창이 발생하여 사용자에게 주의를 주게 되며, 웹서버와 웹브라우저 구간에 모든 문서가 안전하게 암호화되어 전송됩니다. SSL 프로토콜은 현재 사용가능한 대부분의 웹브라우저와 웹서버에 구현되어 서비스 운영자가 웹서버를 위한 SSL 인증서만을 발급받는 것으로 간단하게 해당 서비스를 이용할 수 있기 때문에, 단순 아이디, 패스워드 방식의 로그인을 수행하거나 문서의 안전한 송수신을 위한 용도로 많이 이용되고 있습니다.

SSL 인증서 사용중인 경우 (인터넷익스플로러 기준)

코드사인 인증서는 웹에서 사용자에게 프로그램을 배포할때, 배포의 주체가 누구인지 명확하고 이를 사용자로 하여금 직접 확인하게 함으로써 불필요한 프로그램이나 믿을만한 기관을 사칭하여 해킹도구 등을 내려받게끔 하는 것을 차단하기 위한 인증서 입니다. 웹에서 내려받는 프로그램에는 ActiveX 나 자바애플릿 등이 있습니다. 웹브라우저의 설정 등에 의해 코드사인 인증서로 서명되지 않은 프로그램은 아예 설치가 되지 않을 수 있기 때문에 프로그램을 단 하나라도 배포하고 있는 정상적인 서비스 제공자라면 거의 대부분 코드사인 인증서를 이용하고 있습니다. 특히 우리나라와 같이 ActiveX 를 많이 이용하는 상황에서 웹브라우저 윗단에 노란색으로 나타나는 설치확인 메시지는 많이 익숙하시리라 생각됩니다. 코드사인 인증서는 ActiveX 용과 자바애플릿 용이 서로 약간 모습을 달리할 채 각각 발급되고 있습니다.

코드사인된 프로그램 설치화면(인터넷익스플로러, 서비스팩2기준)

보안메일 인증서는 흔히 SMIME(에스마임 이라고 읽습니다) 인증서라고 합니다. 마이크로소프트사의 아웃룩이나 기타 전문 메일프로그램에서 전자서명과 암호화를 하여 전자메일 발신자를 확인하고 수신자 본인 이외의 다른 사람이 메일의 내용을 볼 수 없도록 하기 위한 인증서입니다. SMIME 인증서는 대부분의 인증서가 전자서명과 암호화를 중복해서 사용할 수 없도록 제한하고 있는 것과 달리 두 용도로 모두 사용할 수 있도록 하고 있습니다. 외국에서와는 달리 국내에서는 아직 메일보안에 대한 개념이 강하지 않고, 메일프로그램보다 웹메일을  많이 사용되고 있기 때문에 보안메일 인증서의 활용은 많지 않습니다만, 향후 메일보안에 대한 의식이 변화되면 많이 이용할 수 있는 인증서라고 생각됩니다.

일단 인증서가 발급된 이후에는 인증서에 표시된 유효기간 이내에는 자유롭게 인증서를 사용할 수 있습니다. 하지만 인증서 유효기간 이내에 부득이한 사정, 즉 인증서의 분실이나 개인키의 손상 등으로 더이상 사용할 수 없거나 개인키가 외부로 유출되거나 유출 가능성이 있는 경우 등에 대하여 가입자의 신청 또는 인증기관의 직권으로 해당 인증서의 효력을 강제 종료시킬 수 있습니다. 이렇게 효력이 강제로 종료된 인증서를 폐지된 인증서라고 합니다.

인증서가 폐지되었다고 하더라도 가입자 또는 악의의 제3자가 그 폐지된 인증서의 사본을 가지고 사용할 경우, 이를 확인하는 방법이 없다면 인증체계의 안정성이나 신뢰성에 큰 타격을 입게 될 것입니다. 따라서 인증기관은 인증서가 폐지되었는지 여부를 확인할 수 있는 다양한 수단을 제시하고 있습니다. 이러한 수단에는 인증서폐지목록의 게시, 온라인인증서상태확인서비스(OCSP; Online Certificate Status Protocol), 인증서검증서비스(SCVP; Simple Certificate Validation Protocol) 등이 있습니다.

인증기관이 폐지된 인증서의 목록을 만들어 인터넷에 게시하는 것을 인증서폐지목록이라 합니다. 인증서폐지목록 역시 인증서와 마찬가지로 인증기관이 서명하여 생성합니다. 인증서폐지목록은 목록이 생성되어 게시되는 특성상 인증서가 폐지될 때마다 즉각적으로 반영하기 어렵습니다. 보통 폐지목록에 등재될 인증서 용도의 중요성이나 폐지의 빈도 등을 고려하여 특정한 주기(하루, 일주일 등)를 정하여 반복적으로 생성 게시하게 되며, 인증서를 검증할 사람도 최신의 인증서폐지목록을 구할 수 있도록 인증서폐지목록 자체에도 유효기간이라는 개념을 포함하고 있습니다.

폐지목록이 항상 최신의 폐지정보를 포함하고 있지 않기 때문에 최대한 인증서폐지목록의 갱신 주기만큼의 누락이 발생할 수 있습니다. 따라서 더 정확한 정보를 필요로 하는 금융이나 전자거래 등에서는 인증서폐지목록을 사용하는 것보다 실시간으로 그 상태를 확인해 주는 OCSP 등의 서비스를 활용하는 것이 바람직할 것입니다.

이 글을 읽는 분들 중에는 아직 주민자치센터(동사무소)에 인감증명서를 등록하여 사용해 본 경험이 없는 분들도 많으실 것으로 생각됩니다. 일반적으로 인감증명서는 본인이 직접하여야 하는 법률행위를 다른 사람에게 대리로 하게 할 때, 본인의 행위임을 증명하기 위해 사용합니다. 말이 어렵나요? 가령 관공서나 은행같은 곳에 업무차 본인이 직접 방문한다면 주민등록증만으로 모든 일을 해결할 수 있습니다. 하지만 바쁘거나 여타 부득이한 사정으로 인해 다른 사람을 시켜야 할 수도 있지 않습니까? 이런 경우에 일을 시킨 그 '다른 사람'을 법에서는 대리인이라고 합니다. 관공서나 은행에서는 대리인 방문시, 대리인이 변호사나 법무사 또는 법정대리인이 아니라면 예외없이 인감증명서를 요구할 것입니다. 주민등록증만 가지고 가봐야 아무리 사정을 설명한다고 해도 다시 발길을 되돌릴 수밖에 없을 것입니다.

인감증명서와 관련된 각종 용어설명

인감증명이란 설명을 왜 했느냐 하면, 지금부터 살펴 볼 전자서명과 인증서라는 개념이 바로 이 인영(印影)과 인감증명서에서 왔기 때문입니다. 과거와 같이 오프라인 밖에 존재하지 않았던 시절에는 본인이 직접 대면할 경우 주민등록증으로, 대리인을 시킬 경우에는 인감증명서로 충분히 본인확인이 가능했지만, 온라인의 범위가 점점 확대되고 과거 오프라인으로 처리했던 각종 일들이 온라인으로 처리가 가능해지면서 온라인에서 사용할 수 있는 주민등록증 또는 인감증명서와 같은 개념을 필요로 했던 것입니다. 온라인으로 주민등록증 또는 인감증명서를 보낼 수도 없거니와 스캔해서 보낸다고 하더라도 사본이니 효력도 없는 일 아니겠습니까?

인터넷뱅킹으로 로그인을 할 때 전자서명을 제출하게 되는데(보통 은행에서 "공인인증서 제출"과 같은 말을 사용하는데 이는 정확한 표현이 아닙니다. 일반인들이 전자서명이라는 단어에 익숙하지 않은 때에 생성된 단어가 굳어진 것이라고 할 수 있습니다.), 일반적으로 은행을 방문하면 주민등록증을 제출하는 것으로 본인확인을 하므로 인터넷뱅킹에서 인증서는 어찌보면 온라인에서 사용할 수 있는 주민등록증과 유사하게 생각될 수도 있겠습니다. 하지만 온라인 특성이 사람간의 직접 대면에 의한 본인확인이 아니라 위에서 설명한 바와 같이 비대면이라는 특수성에 기인한 "대리"라는 성격과 아래의 그림과 같은 외견 등으로 오히려 인감증명서와 더 유사하다는 것을 알 수 있습니다.

	인감증명서	↔	인증서
	인감증명	↔	인증서발급
	인감도장	↔	개인키
	인감	↔	공개키
	인영	↔	전자서명

온라인 상의 인감증명서가 인증서라고 하였는데 공개키, 개인키가 갑자기 나와서 어리둥절 하실지도 모르겠습니다. 인증서에 필요한 가장 기반이 되는 기술이 바로 공개키 알고리즘입니다. (공개키 알고리즘에 대한 자세한 설명은 공개키알고리즘 Part.1을 참고하세요.) 인감도장을 안전하게 관리하시는 것과 마찬가지로 개인키도 역시 안전하게 보관하셔야 합니다. 개인키를 안전하게 보관하는 방법은 물리적인 매체를 이용하는 방법(보안토큰)과 개인키를 패스워드로 암호화하여 보관하는 방법(주로 "인증서암호" 라고 합니다)이 있습니다. 현시점에서는 개인키를 패스워드로 암호화하는 방법을 많이 사용하고 있습니다만, 향후에는 보다 안전한 물리적인 매체를 이용하는 방법을 권장하고 있으며 그렇게 갈 것이라고 생각됩니다. 이에 대한 설명은 추후 추가하도록 하겠습니다.

인증서는 표준양식에 의해 생성된 전자문서의 일종입니다. 인증서 표준양식은 국제적인 호환성을 위해 사실상의 국제표준문서인 RFC 에 의해 규격이 정해져 있습니다. 약간 이상하게 들릴 수도 있겠지만, 규격으로 정해진 인증서의 본래의 용도는 개인키 소유여부의 확인이며, 본인확인 기능은 없습니다. 무슨 말이냐 하면 전자서명을 해서 상대방에게 보내면 "전자서명을 한 사람이 접니다" 라는 의사를 표시하는 것이지 그 "저"가 누구인지는 며느리도 모른다는 뜻이지요. 즉 인감증명서에 주민등록번호가 빠져 있는 것과 똑 같다는 뜻입니다. 이런 연유로 인해 우리나라의 공인인증체계에서는 독특하게 인증서에 개인의 고유한 식별정보(주민등록번호)를 간접적(!)으로 포함하여 이 기능을 통해 본인확인을 할 수 있는 것입니다. 눈치채신 분들도 계실지 모르겠지만, 이러한 연유로 국제표준 규격으로 제작된 인증서 관련 프로그램이 우리나라의 공인인증서에 대해서는 제기능을 수행하지 못할 수도 있습니다.

공인인증서를 전용프로그램으로 본 화면