미래창조과학부 '인터넷 정책관'께 보낸 서신

“정부2.0”, “정부3.0″이라는 말 자주 들어보셨을 것입니다. “소통과 참여”를 화두로 하는 것이지요. 정부가 민간으로부터 단절, 고립되어 있지말고 적극적으로 소통하고 참여를 이끌어 내도록 노력해야 한다는 정도의 뜻이 아닐까 싶습니다. 물론 민간인으로 ‘가장하여’ 몰래 댓글질이나 하는 “국정원 스타일”은 정부3.0이 아니라, 정부 “-3.0“일테고요.
솔직하게, 공개적으로 민간과 소통하고, 시민도 정부와 장벽 없이 소통할 수 있도록 하면 불합리한 규제도 신속히 개선될 수 있을 것입니다. 그런 의미에서, 우리나라 인터넷 관련 전략을 총괄하시는 미래창조과학부 ‘인터넷 정책관’ 박윤현 국장(공학박사)께 보낸 서신을 공개합니다.

* ** *

박윤현 박사님,
지난 목요일에 여러 말씀 나눌 소중한 기회가 있어서 매우 기쁘게 생각합니다.
전자서명법 개정의 핵심 내용을 설명한 문건을 첨부합니다 [pdf 내려받기 링크]. 국장님 휘하 직원들이 기안해서 보고해 올리는 내용과는 상당히 차이가 있음을 아실 것입니다.
그리고, 국내의 금융거래 보안 기술의 실상은 너무나 낙후되어 있습니다. 경쟁을 13년간 틀어막아 두면 어쩔 수 없이 생기는 결과라고 저는 생각합니다. 다음 두 동영상 참조.
https://opennet.or.kr/opentalk/3041 전자금융거래법 개정이 필요한 두가지 이유
https://opennet.or.kr/opentalk/3155 공인인증서 ‘강요’ 안해도, 실시간 이체 더 안전하고 편리하게 됩니다.
사실, 인증서비스는 ‘금융’거래에만 사용되는 것이 아니므로, 인증서비스를 감독하는 미래부가 ‘금융’서비스에 대해서 이러쿵 저러쿵 하는 것은 좀 적절하지 않다고 저는 생각합니다.
마찬가지로(거꾸로), 금융거래에 필요한 당사자 신원확인(authentication)을 ‘인증서'(digital certificate)로만 해야 하는 것이 아닙니다. 인증서는 오히려 이제는 낙후된 authentication 기술이라고 평가됩니다 [링크]. 다양한 최신 authentication(본인확인) 기술의 채용을 차별없이 보장, 권장해야 할 금융위가 ‘인증서’에 집착하면서 이러쿵 저러쿵 하는 것도 우습기는 마찬가지 입니다(certificate 보다 더 나은 authentication 기술이 많기 때문).
“인증(authentication)”과 “인증서(certificate)” 라는 두 상이한 개념이 우리말 번역 용어로는 ‘비슷’해서 생기는 불행한 사태일 수도 있겠습니다만…
‘민간’이 사용하는 인증서의 암호규격을 ‘정부’가 정하도록 하고 있는 현행 전자서명법은 “OECD 암호정책 가이드라인“에 어긋난다는 점도 고려해 주시면 좋겠습니다. 일부분만 인용하면…

2. Users should have a right to choose any cryptographic method, subject to applicable law. (이용자는 관련법에 따라 암호기법을 선택할 권리를 누려야 한다)
Government controls on cryptographic methods should be no more than are essential to the discharge of government responsibilities and should respect user choice to the greatest extent possible. This principle should not be interpreted as implying that governments should initiate legislation which limits user choice. (암호기법에 대한 정부의 통제는 정부의 책무를 수행하는데 필수적인 범위를 넘어서서는 안되며, 이용자의 선택권을 최대한 존중해야 한다. 이 원칙은 정부가 이용자의 선택권을 제약하는 법을 만드는 방향으로 해석되어서는 안된다.)
3. Market Driven Development of Cryptographic Methods (시장 경쟁을 통한 암호 기술의 발달)
The development and provision of cryptographic methods should be determined by the market in an open and competitive environment. Such an approach would best ensure that solutions keep pace with changing technology, the demands of users and evolving threats to information and communications systems security. 암호 기법의 개발과 제공은 개방되고 경쟁적인 환경에서 시장을 통하여 결정되어야 한다. 이렇게 해야, 기술변화 속도에 뒤지지 않을 수 있고 이용자의 수요와 정보통신망 보안에 대한 공격기법의 진화에도 적시에 대응할 수 있게 된다.)

OECD가 왜 그런 가이드라인을 채택 했겠습니까? 정부가 민간 암호 기술에 개입해서 특정 암호기술을 강제하면, 암호기술이 발달할 수가 없기 때문입니다. 대한민국 미래부는 OECD가이드라인 따위는 무시해도 된다는 입장을 취할 수는 없지 않겠습니까? [대한민국도 OECD회원국 입니다. “담치고 살자”는 멘탈은 이제 그만…]
김기창 드림
ps. 전자서명법/전자금융거래법 개정에 관한 자료는 https://opennet.or.kr/choice.php 에 모아 두었습니다.