지난해 후반부터 한국인터넷진흥원(KISA)은 웹트러스트 기준에 따른 보안점점을 받아왔으며, 올해 1월8일자로 점검을 성공적으로 통과했습니다. 점검을 수행한 자는 안진회계법인에 소속된 인증/보안 기술 전문가들입니다. 이 분들이 국제적 점검 기준에 따라서 KISA의 인증관련 업무가 과연 안전하게 수행되는지를 점검하였고, 그 결과 점검 기준을 충족하는 수준으로 업무가 수행되고 있다는 점이 확인되었습니다. 검증필 증서는 https://cert.webtrust.org/ViewSeal?id=1622 에서 내려받아 보실 수 있습니다.
한국인터넷진흥원 홈페이지 http://www.kisa.or.kr 맨 아래 오른쪽을 보시면 아래와 같은 “WebTrust” 검증필 마크가 게시되어 있는 것을 확인할 수 있습니다.
이제 KISA는 전세계 어디에서건 “우리는 국제적 기준을 충족하는 수준으로 안전하게 인증업무를 수행하고 있다”고 주장할 수 있게 되었습니다. 그동안 한국 바깥에서는 “믿어줄 근거”가 없던 불행한 상황이 근본적으로 개선된 것입니다. 진심으로 축하드립니다!
물론, 한국의 공인인증서는 KISA가 정해둔 파일 규격때문에 아직도 오페라와 파이어폭스 웹브라우저에서 이런 저런 기술적 오류를 낳고 있기는 하지만, 이런 문제는 KISA가 스스로 그리고 신속히 교정할 수 있는 것입니다. 이 문제(비교적 사소한 문제)만 개선되면, KISA산하의 국내 인증업체들도 전세계의 웹서버들을 상대로 서버인증서 영업을 제대로 펼칠 수 있는 발판은 마련될 것입니다.
인터넷 교신의 신뢰성은 서버 인증과 클라이언트 인증이 모두 제대로 이루어져야 비로소 가능합니다. 한국에서는 지난 10여년간 서버 인증은 아예 포기하고, 클라이언트 인증(공인인증서)에만 집착해 왔었는데, 이런 기형적 사태도 앞으로는 개선될 기반이 곧 마련될 것입니다.
현재 국회에 계류 중인 전자서명법 전부개정법률안은 루트인증기관은 반드시 제3자의 보안점검을 받도록 규정하고 있고(KISA도 루트인증기관입니다), 국제적 기준에 따라 보안점검을 받은 인증기관들은 국내에서도 차별 없이 루트인증기관으로 영업할 수 있도록 규정하고 있습니다. KISA는 작년에 이것을 거부하고 “우리가 왜 제3자의 검증을 받아야 하나?”라면서 개정법률안을 반대했었는데, 그런 이상한 태도를 이제는 극복하고 글로벌 인증기관으로 도약할 발판을 마련한 점을 높이 평가합니다. 전자서명법 전부개정 법률안에 대한 근거 없는 비방, 공격, 반대도 이제는 줄어들 것으로 기대해 봅니다.
오래동안 유지되었던 공인인증서 일변도의 기형적 인증체제, 국내 업체에 대한 보호주의, 인증시장에 대한 정부개입 및 사용강제 주의를 이제는 졸업하고, 인증시장 개방과 경쟁 및 인증서 사용여부 자율선택을 통하여 한국의 보안 기술도 글로벌화 할 때가 되었습니다.
1년 몇개월 지난 지금 평가 해보자면, 오프넷도 약간 허술한 면이 있어 보입니다. 물론 KISA가 웹트러스트 인증을 하지만, 해외와 달리 국내는 다음과 같이 다른면이 있습니다.
‘코모도(Comodo), 베리사인(Verisign) 등과 같은 해외 인증기관들은 하위 인증기관을 따로 두고있지 않다. 자신들이 인증서와 같은 모든 업무를 관장하기 때문에 탑재에도 문제가 없다.
하지만 KISA는 루트 인증기관으로의 역할만 수행하고 실제 인증서 발급과 같은 기능은 하위 인증기관인 금융결제원, 한국정보인증, 한국전자인증, 한국증권전산, 한국전산원, 한국무역정보통신 등에서 수행하고 있다.
(이 중 한국전자인증만 웹트러스트 인증을 보유하고 있다.)’
KISA와 인증서 업체들이 이런 꼼수 부리고 있는데, KISA만이 제 3자 검증 받으라고 하는건 해결책이 아닙니다.