공인인증서를 다시 생각한다

2010년 2월 다가오는 인터넷 시대 한국의 최대 위협인 ‘공인인증서 강제’로 인한 ‘인터넷 갈라파고스 현상’ 타파를 위한 긴박한 투쟁을 전개한 바 있다. 당시 한국은 ‘액티브 X’를 공인인증서 설치를 포함한 모든 보안 프로그램의 다운로드에 필수적으로 사용토록 하는 등 전 세계가 경악할 제도를 시행하고 있었다(개발사인 마이크로소프트조차도 보안 목적으로는 사용 금지를 권고하고 있었다). 이러한 한국만의 ‘갈라파고스적 규제’를 휴대폰까지 확산하려는 정부 당국의 정책 발표는 모든 네티즌의 분노를 폭발시켰다. 국가의 부조리한 규제 해소를 목적으로 한 호민관실이 이 문제 해결에 앞장서게 된 이유다.

금융위원회, 행정안전부 등 정부 부처와 두 달여간에 걸친 치열한 공방전의 결과 휴대폰에서는 공인인증서를 강제하지 않는다는 것으로 결론짓고, 공인인증서 외에 추가적 인증을 위한 위원회를 구성토록 한 것이다. 이후 필자가 호민관에서 물러난 후 위원회의 추가적 인증이 없었다는 것이 다시금 불거지는 공인인증서 문제의 핵심이다. 그리고 이제는 휴대폰이 아니라 인터넷 전반의 개방으로 재확산돼야 할 때다.

문제의 시작은 벤처 붐으로 인한 한국의 앞선 인터넷 기술이었다. 벤처 혁명으로 인해 1997년부터 폭발적으로 증가한 한국의 인터넷 기술과 보급률은 2000년 세계 최고 수준으로 올라서면서 보안의 필요성이 급증, 세계 최초로 128비트 보안 모듈을 개발한 것은 세계적 성과였다. 당시로서는 웹 브라우저에서 제공하지 못하는 보안 기능 구축을 위해 편법인 액티브X를 동원, 앞선 대한민국의 인터넷 보안 체계를 구축한 것까지는 앞서가는 성공담이었다.

이후 웹 브라우저들은 128비트 보안체계를 액티브X 없이 활용 가능한 동시에 안전한 인증서 보관은 물론, 서버까지 인증하는 새로운 인증체계를 선보였으나, 한국은 이를 무시하고 있다. 액티브X는 사용자의 인터넷 보안을 일시적으로 활짝 열어주는 편법이므로 그 사용은 당연히 매우 제한적으로 이뤄져야 한다. 그러나 한국의 ‘공인인증서 제도’는 한국 국민들에게 액티브X를 너무나도 친숙하게 만들어 한국인들의 인터넷 보안 의식을 떨어뜨리고 말았던 것이다. 결과적으로 한국은 액티브X 사용의 압도적 세계 1위로서 웹 표준 비준수 1위 국가인 동시에 온라인 거래가 가장 어려운 국가가 됐다. 제도 경쟁력의 한계가 노출된 것이다.

서버 검증이 없는 한국의 공인인증제도는 ‘국민은행’과 ‘국만은행’을 구분하지 못한다. 당연히 사기 서버들의 피싱 천국이 됐다. 영국 케임브리지대 앤더슨 교수팀의 논문에서 한국 공인인증서 문제를 명확히 지적하고 있다. 편법 기능인 액티브X의 개발사로서 한국 제도의 최대 수혜자인 마이크로소프트조차 더 이상 이를 반기지 않는다(한국의 윈도와 익스플로어 점유율이 세계 최고다). 새로운 운영체계인 윈도우8은 액티브X를 원칙적으로 지원하지 않는다. 한국은 국가 주도로 이를 편법으로 사용하는 유일한 국가로 남을 것인가?

그렇다면 한국의 온라인 거래는 편리하기라도 한 것일까? 아마존의 ‘원 클릭’구매의 편리성을 경험해 본 해외 직접 구매 이용자들은 ‘도대체 한국의 극도로 불편한 거래에도 사기 피해를 막지 못하는 이유는 무엇인가’라는 본질적 질문을 던지고 있다. 연말정산 한 번 하고 나면 한국인들의 PC는 무수한 금융 모듈을 다운받느라 소위 ‘걸레’가 된다. 한국은 가장 불편하고도 가장 안전하지 못하고 비싼 인터넷 보안 체계를 고집하고 있는 ‘온라인 갈라파고스’인 것이다.

창조경제에서 온라인 거래는 대세다. 수출과 IT 강국이라는 한국의 온라인 무역은 적자일 수밖에 없다. 외국에서 한국 사이트 접속과 거래는 너무도 어렵다. 공인인증서, 인터넷 실명제 등 글로벌 스탠더드와 분리된 쇄국 IT정책의 당연한 결과다. 인터넷 개방성은 국민적 인내의 한계를 넘어섰다. 전 세계가 사용하는 ‘SSL+OTP’ 인증방식과 페이팔, 알리페이 등으로 입증된 페이게이트의 구축이 대안이다. 초연결된 세계 경제에서 갈라파고스적 진화 함정으로부터 벗어날 때다.

글 : 이민화