[디지털데일리 이민형기자] 한국인터넷진흥원(KISA)과 국내 5대 공인인증기관이 공동으로 NPKI(National Public Key Infrastructure, 국가공개키 기반구조) 폴더 사용 폐지에 나선다.

공인인증서 유출 등으로 인한 피해를 최소화하고 HTML5 등 웹표준 기술을 지원하기 위해서다.

5일 관련업계에 따르면 KISA와 공인인증기관들은 NPKI 폴더 사용을 폐지하기 위해 머리를 맞대 대안을 고민하고 있다. 현재까지 가장 유력한 방안은 SW방식의 보안토큰 채택이다.

KISA는 당초 HW방식의 보안토큰 보급화를 고려하기도 했으나, 비용적인 문제와 더불어 HTML5와 같은 웹표준 지원이 힘들어진다는 점으로 인해 일찌감치 제외했다.

SW보안토큰은 공인인증서(공개키)의 복제와 부정사용 예방이 주요 기능이다. PC의 고유정보를 사용하고 별도의 인증키, 암호장치가 있어 저장매체(하드디스크)를 다른 PC에 탈착하는 형태로도 사용이 불가능하다.

악성코드가 강제로 SW보안토큰에 저장된 공인인증서를 탈취하더라도 키쌍이 일치하지 않아 사용할 수 없다. 다만 소프트웨어로 구현돼 있어 HW보안토큰에 비해 보안성은 다소 떨어질 수 있다. 하지만 NPKI 폴더에 저장하는 현행 시스템보다는 크게 강화될 것으로 보인다.

KISA와 공인인증기관들이 SW보안토큰 방식을 채택할 경우 사용자 편의와 신기술 대응 등 긍정적인 효과가 기대된다.

먼저 기존 시스템 대비 공인인증서 탈취로 인한 피해가 줄어들 수 있다. 현재 공인인증기관들은 하드디스크, USB이동식디스크, 스마트폰 등에 NPKI 폴더를 생성하고 그곳에 공인인증서를 저장하는 방식을 사용하고 있다.

이로 인해 공격자들은 NPKI 폴더를 탐색하고, 이를 압축해서 전송하는 기능을 갖춘 악성코드를 개발해 배포하고 있는 실정이다.

SW보안토큰으로 공인인증서를 암호화해 보관할 경우 공개키를 탈취당할 위험이 대폭 줄어들어 파밍으로 인한 피해가 최소화될 수 있다.

또 이는 HTML5 기반 전자서명 솔루션의 확산으로 이어질 수 있다.

현재 HTML5 기반 전자서명 솔루션들은 반쪽짜리에 불과하다. 웹표준 기술만으로는 로컬(하드디스크 등)에 저장된 공인인증서 등을 불러올 수 없기 때문이다.

HTML5 기반 전자서명 솔루션을 사용하더라도 하드디스크나 이동식디스크, 스마트폰에 저장된 공인인증서를 불러오려면 또 다른 애플리케이션을 각각 설치해야하는 불편함이 생기게 된다.

여기에 SW보안토큰이 적용될 경우 애플리케이션 설치를 최소화할 수 있어 사용자의 편의가 증대될 수 있다. 또 웹브라우저 저장소 등에 보안토큰 적용이 가능해지면 별도 애플리케이션 설치 없이도 순수웹을 통해서 공인인증서 사용이 가능해진다.

하지만 기존에 개인들이 사용하던 HW보안토큰과 나라장터 등에서 사용되는 지문보안토큰 등은 SW보안토큰과 함께 사용할 수 없다. 다만 필요시에는 기존과 동일하게 애플리케이션 추가 설치 등으로 해결할 수 있을 것으로 보인다.

업계 관계자는 “공인인증서 탈취로 인한 국민들의 금전적 피해가 증가함에 따라 KISA와 공인인증기관들이 NPKI 폴더 없애기에 본격 나서고 있다”며 “올해 상반기 중 대략적인 모습이 나올 것으로 보인다”고 전했다.

<이민형 기자>kiku@ddaily.co.kr