Korean Identity Management(KIM)

title; ETRI,「 전자 ID지갑 기술 」개발
link; http://www.etri.re.kr/kor/board/FileDown.jsp?tableName=board&div=01&sno=2398&gubun=1

ETRI,「 전자 ID지갑 기술 」개발
- 각종 전자인증ᐧ개인정보를 언제 어디서나 저장ᐧ이용
- 사용자 DB가 해킹되어도 타 사이트 ID도용 피해 방지
- 사용자의 중요 정보를 웹사이트간에 안전하게 공유
- 휴대폰으로도 간편하게 웹사이트 가입 및 로그인 가능

# 김과장은 업무상 20개 사이트에 가입하여 정보 활용 및 전자결재 등을 하여왔으나, 가입 사이트의 수가 많아질수록 사이트별 아이디와 패스워드를 기억하는게 어렵게 되었다. 결국 김과장은 관리의 편의를 위해가입하고 있는 사이트들의 아이디와 패스워드를 하나로 통일하여 사용하게 되었는데, 정보가 유출되어 타인이 도용할 수 있다는불안함을 항상 안고 있었다. 그러나, 패스워드보다 안전한 비밀키를 사이트별로 알아서 척척 관리해주는 '전자ID지갑' 덕분에김과장은 걱정이 사라졌다.

ETRI(한국전자통신연구원, 원장 최문기)는 6일, 일상생활에서 신용카드, 신분증 등을 넣고 다니는 지갑처럼디지털시대에 각종 전자인증 정보 및 개인 정보를 언제 어디서나 저장하고 이용할 수 있는 사이버상의 ‘전자 ID지갑 기술’을개발하였다고 밝혔다.

사용자가 여러 웹사이트에 가입하다 보면, 각 사이트의 아이디와 패스워드를 웹사이트 마다 다르게 설정하지 않고 기억하기 쉽게 동일한 아이디와 패스워드를 사용하는 경우가 적지 않다.

만약에 악의적인 공격자가 한 취약한 사이트로부터 아이디와 패스워드를 얻게 된다면, 이를 이용하여 다른 많은 사이트들까지도 도용된 ID로 쉽게 로그인 할 수 있게 되어 공격당한 사용자는 돌이킬 수 없는 재앙을 맞게 된다.

그러나, 전자ID지갑을 사용하면 사용자가 패스워드를 기억할 필요도 없고, 각 사이트마다 안전한 비밀키가 자동으로 생성되므로, 위와 같은 문제를 근본적으로 해결할 수 있게 된다.

이 기술은 인터넷 환경에서 웹사이트에 가입하고 로그인하는 작업을 몇 번의 클릭만으로 작업할 수 있게 해준다.

또한, 피싱, 파밍 사이트 문제 등을 해결하고, 사용자가 가입한 사이트 목록 및 가입시 사용한 아이디, 프로파일 정보,지불 정보 등을 간편하게 관리할 수 있는 기능을 제공하여 준다. 특히, 이러한 정보를 카드 형태로 표현함으로써, 사용자가편리하게 선택하여 사용할 수 있게 한다.

전자ID지갑은 최근 이슈가 되고 있는 인터넷상에서의 주민등록번호 오남용 문제를 해결하기 위해 정부에서 추진 중인아이핀(i-PIN)의 사용자 편리성을 향상시키고, 최근에 떠오르는 인증 기술인 CardSpace, OpenID 의 인증 방법을지원한다.

또한, 전자ID지갑은 사용자의 중요 정보를 웹사이트 간에 안전하게 공유할 수 있는 기능을 제공한다.

이를 이용하면 한 사이트의 정보를 다른 사이트에서 사용할 수 있게 되는데, 이 때 발생할 수 있는 개인정보 노출 문제 및 프라이버시 문제를 사용자 중심의 공유 방식을 사용함으로 해결하여 준다.

ETRI는 이 방식에 대한 국내․외 특허를 출원하였으며, 지난해 9월 중순 스위스 제네바에서 개최된 ITU-T 회의에서 국제 표준(표준명 : 자기통제 강화형 디지털 아이덴티티 공유 프레임워크)으로 채택 되었다.

이러한 공유 기능을 활용하면 다양한 부가 서비스를 창출할 수 있다. 예를 들어, 사용자의 토익 점수와 학력 정보를활용한 취업 정보 서비스, 사용자의 건강 정보를 바탕으로 의료 정보를 제공하여 주는 개인맞춤형 건강관리서비스, 사용자의 금융정보, 부동산 정보, 증권 정보 등을 바탕으로 사용자의 자산을 관리하여 주는 통합자산관리 서비스 등이 가능해질 수 있다.

전자ID지갑은 인증, 공유기능 뿐 만 아니라, 웹환경에서 간편하게 전자결제를 수행할 수 있도록 해주고, 전자ID지갑 데이터를 안전한 서버에 백업하여 주는 서비스를 제공한다.

그리고 모바일 단말기용 전자ID지갑을 휴대폰에 탑재하여 휴대폰으로 웹서핑을 할 때 간편하게 사이트 가입 및 로그인할 수 있도록 해준다.

또한, PC 방처럼 안전하지 못한 제3의 장소에서 웹사이트에 로그인할 때, 모바일 전자ID지갑의 OTP 및 SMS 기능을 이용하여 사용자의 정보가 노출되지 않도록 할 수 있다.

진승헌 디지털ID보안연구팀장은 “전자ID지갑을 통하여 현재 정부에서 추진하고 있는 인터넷상의 주민번호 대체수단인아이핀의 편의성과 안전성을 향상시켜 아이핀 보급을 활성화할 수 있으며, 상호인증기술 기반의 안전하고 편리한 사용자 로그인 기능을제공하여 피싱과 파밍 공격으로부터 사용자의 정보를 안전하게 지킬 수 있다.”라고 밝혔다.

한편, 본 기술은 2007년 5월부터 마이크로소프트, 한국정보보호진흥원과 공동연구로 시작하였으며, 2008년 말 국내 관련 산업체에 5건의 기술이전을 하였으며, 2009년 중반부터 단계적으로 상용화가 진행될 것으로 예상하고 있다.

신문 기사로 '반쪽짜리 아이핀'이라는 기사가 나오기 전부터 아이핀의 문제에 대해서는 인식하고 있었습니다.[1] IE에서 구동해야지만 100% 아이핀을 활용할 수 있죠. 저도 파이어폭스를 사용하는 입장에서 불편함을 가지고 있었습니다.

그 신문 기사가 나온 이후로 부터 많은 분들이 기사 내용만 가지고 재생산을 하고 계십니다. 덧글 또한 거의 다 근시안적인 정부 기관들의 정책 탓이라는 내용, 근본적으로 주민번호와 같은 개인식별정보(PII)를 수집하는 관행을 문제삼고 계시죠. 네, 다 맞는 이야기입니다.

하지만 실제로 아이핀을 사용해 본 사람이라면 신문 기사의 내용이 틀렸다는 것을 아실 것입니다. 지금 당장 네이버에 회원가입해 보실까요? 아이핀이 있으면 파이어폭스로도 본인확인이 됩니다. 그런데 몇 부분 안되는 것으로 아이핀은 IE만 지원한다고 과장하고 있습니다.

키보드보안모듈요? 의무적으로 설치해야 한다구요? 설치하지 않고 무시해도 잘만 사용할 수 있습니다.

3일 관련 업계에 따르면 일부 신용평가업체와 공인인증기관이 아이핀을 발급하는 과정에서 이용자들은 해킹을 방지하기 위해 보안 업체가 제공하는 키보드보안모듈을 의무적으로 설치해야 한다.

공인인증서를 통한 본인확인'도'가 아니라 '만' IE에서 사용가능합니다. 다른 본인확인방법인 휴대폰인증, 카드인증, 대면인증은 파이어폭스로 사용할 수 있습니다. 대부분은 휴대폰 인증 하시면 편하실텐데, 굳이 공인인증서만 사용해야 하나요? 공인인증서 없으면 어디 아이핀 사용못한다고 하던가요?

뿐만 아니라 발급 과정 중 공인인증서를 통한 본인 확인도 액티브X를 이용하도록 제작돼 있어 역시 IE가 아니면 이용이 불가능하다.

그러니, 다음 구절이 말도 안된다는 걸 이제 아시겠습니까?

이에 따라 파이어폭스와 사파리, 오페라, 구글크롬 등 MS가 아닌 타사 웹브라우저 이용자는 원천적으로 아이핀을 발급받을 수 없는 등 불편을 겪고 있다.

제가 관련자(?)도 아니라 같은 업계 사람의 변호를 왜 이렇게 하는지 궁금하시죠? 저는 아이핀의 단점을 지적하고 보완하는 업무를 하고 있습니다. 단점이 명백하고 치명적일수록 저희 결과물을 부각시키기 쉽겠죠. 하지만 제대로 사용해보지도 않고 신문기사를 쓰고, 그걸 곧이 곧대로 받아 확대 재생산하신 분들이 올블로그 인기글에 오르는 걸 보니 너무나 당황스럽군요. 아무리 자신의 글에 책임을 안져도 된다지만, 자신이 제대로 확인해보지 않은 정보를 신문기사나 블로그에 그대로 올려도 되나요?

첨언하자면, 아이핀은 최선이 아닌 차선입니다. 저뿐만 아니라 많은 분들이 생각하시듯 개인정보를 아에 수집하지 않는게 최선입니다. 하지만 규제가 심한 한국의 인터넷 환경에서는 이 문제를 정치적으로 접근할 수 밖에 없습니다. 그건 정치가/법률가 들이 해결할 이슈인데, 기술 자체, 그리고 그 기술을 만든 개발자를 욕하는 건 방향을 잘 못 잡은 것 아닐까요?

그리고 정부의 정책은 모든 사람이 아이핀을 쓰라는 게 아닙니다. 여러분들은 기존처럼 주민번호, 이름을 입력해서 사이트에 가입할 수 있습니다. 하지만 아시죠? 그렇게 가입하시면 그 정보는 사이트에 그대로 남습니다. 해커나 내부자에 의해 그 정보는 노출될 수 있습니다. MB정부처럼 효율성을 강조하는 정책이라면, 주민번호가 도용당한다고 해도 기존처럼 주민번호를 입력하는게 더 편합니다.

아이핀인 경우, 피치못한 경우로 노출되어도 이를 재발급하여 변경할 수 있습니다. 아이핀을 강제하는 것은 기업 입장에서는 비용이 들어 반대하는 게 당연하지만, 개인 입장에서는 기뻐해야 하는 일입니다. 물론 IE에서만 100% 동작하고 여러가지 알려지지 않은 문제들이 있지만, 아이핀 같은 시도가 계속되길 바랍니다.

[1] http://media.daum.net/digital/view.html?cateid=1067&newsid=20081103060305425&p=yonhap

title; "인터넷 떠도는 주민번호 삭제하세요"
link; http://news.mk.co.kr/outside/view.php?year=2008&no=269715

오늘(5월1일)부터 행안부 주관으로 주민등록번호 클린캠페인을 합니다. 아시다시피, 오프라인에서 신원확인을 간단히 처리하기 위한 의도로 제안된 주민등록번호가, 온라인에서의 신원확인에 사용되면서 아주 많은 문제를 가져왔습니다. 최근에 옥션의 해킹 사고(1081만명), 하나로텔레콤의 내부자 정보 노출(600만명)로 많은 분들이 걱정하시죠. 계좌번호를 해지하는 분도 있으시구요.

정부는 아이핀(i-PIN)이나 지핀(g-PIN)을 이용하여 주민번호를 대체하려 하지만, 많은 분들이 아에 모든 체계를 없애라고까지 말하십니다. 개인정보를 모으는 기업을 비난하기도 하구요. 물론 각 기업들이 그 정보를 모으고 싶어서 모으는 건 아니죠. 전자상거래법에 따라, 영수증 발급을 위해 어쩔 수 없이 주민등록번호를 수집해야 합니다.

전자상거래법에 따르면 전자상거래시 세무, 연말정산 등을 위한 영수증 발급을 위해 이용자의 주민등록번호와 성명을 보관, 저장하도록 규정하고 있다. 이는 거래기록의 보존으로 6조에 의한다.

제6조 (거래기록의 보존 등)
②제1항의 규정에 의하여 사업자가 보존하여야 할 거래의 기록 및 그와 관련된 개인정보(성명·주소·주민등록번호 등 거래의 주체를 식별할 수 있는 정보에 한한다)는 소비자가 개인정보의 이용에 관한 동의를 철회하는 경우에도 정보통신망이용촉진및정보보호등?徨箕熏?제30조제3항의 규정에 불구하고 이를 보존할 수 있다.

출처: http://www.hauri.co.kr/virus/dic/news_security02.html?menu=UjY=&uid=8295

2004년 11월에 노회찬 의원이 개인정보보호법을 발의했지만, 5년이 지난 지금도 처리되지 않고 있습니다. 이제 다시 진지하게 고민해야 할 시간인데.. 워낙 국회가 바빠서 이슈가 될지는 의문입니다. 다행이도 지금 뉴스를 찾아보니 개인정보보호법을 연내 제정할 예정이라고 합니다. 그런데 데이터 수집은 그대로 하면서, 암호화 하고 법적 처벌을 강화하는 내용이 위주입니다.

개인정보보호法, 5년째 국회서 '낮잠' 
행안부, 개인정보보호법 반드시 통과돼야 
'개인정보보호법' 연내제정된다

물론 정부 입장에서는 기존의 법체계를 최대한 유지하는 방안을 택하는게 당연합니다. 법률이 바뀌어지지 않는다면, 아무리 좋은 기술을 개발한다해도 주민번호는 반드시 수집하여 보관할 수 밖에 없습니다.

즉, 주민등록번호와 같은 고유식별자는 타용도로 이용 시 개인정보침해의 위험성이 크므로 그 사용을 제한할 필요성은 인정된다는 것이다. 그러나 현실적으로 전자정부 구축사업에 있어서 기관 간 데이터베이스 연동 또는 인터넷사이트 가입 등에 있어서 청소년 유해 매체물에 대한 접근방지 장치 등으로 고유 식별자의 이용이 불가피한 경우도 있다. 그러므로 다른 법률에 규정이 있거나 정보주체의 동의가 있는 경우에는 최소한 사용할 수 있도록 하는 등 정보의 이용과 보호가 조화와 균형을 이룰 수 있도록 하는 것은 필요하다고 말한다. 물론, 고유 식별자 수집 제한에 대해서는 과거부터 많은 논란이 있었다. 현재 노회찬 의원이 발의한 개인정보보호기본법에는 주민등록번호를 법률의 규정이 있거나 당사자의 동의가 있는 경우에 한하여 수집 및 이용을 할 수 있도록 제한을 하고 있다. 이는 누구든지 법령의 규정에 따라 개인을 고유하게 식별하기 위하여 부여된 식별자를 수집하거나 이용 또는 제3자에게 제공할 수 없되, 다른 법률의 규정이 있거나 당사자의 동의가 있는 경우 등에는 사용할 수 있도록 하고 있는 것이다.

출처: http://www.ecmc.or.kr/magazine/ebizkorea_12.asp?mode=detail&webzinedate=2006-02&adminGrid=ebizkorea&boardNO=240&page=9&startpage=1&boardid=coverStory&boardMagazine=2005-05

이번에 행안부가 추진하는 클린캠페인은 이 같은 맥락으로 본다면 최선의 방안입니다. 기존에는 민간신용평가에서 월정액제로 제공했던 서비스지만, 이번 2달간은 무료로 이용할 수 있습니다. 저도 주민번호 사용 내역을 확인해 봤는데 몇 건이 의심되더군요. 사이트에 가봤지만 이미 서비스 안하는 사이트도 있었구요. 서비스하는 사이트 몇 군데는 탈퇴 처리를 했습니다. 그나마 주민번호가 본격적으로 도용되지는 않아서 안심했습니다.

여러분들도 http://clean.mopas.go.kr/ 를 방문하시고, 본인의 주민번호를 잘 관리하세요.


아쉬운 점이 있지만 그건 온라인에서 몇 사람들이 불만을 토로한다고 해서 해결되는 차원의 문제가 아닙니다. 요즘 자주 하는 말로, '바꾸고 싶으면 투표해라'고 하는 수 밖에요.