<대한금융신문=문혜정 기자> 우리은행에서 지난 9일 국내 금융권 최초로 오픈뱅킹서비스를 시작하며 다양한 웹브라우저 및 운영체제에 대응할 수 있는 새로운 보안대책 마련에 관심이 집중되고 있다.
뱅킹서비스의 기본은 보안이다. 국내 인터넷뱅킹서비스가 급성장해온 배경에는 무엇보다 고객이 인터넷뱅킹을 안심하고 이용할 수 있도록 신뢰를 심어준 보안기술의 역할이 크다.
국내 보안기술은 지금까지 기술적 특성상 웹브라우저의 ‘플러그인’ 방식으로 제공돼 왔으며 대부분의 보안 프로그램이 마이크로소프트의 인터넷 익스플로러(IE)에 최적화됐다.
그러나 최근 정부기관과 금융권 등에서 서서히 IE 단독체제를 벗어나려는 움직임을 보이고 있는 가운데 인터넷뱅킹의 호환성 개선에 대한 사회적 요구가 커지고 있다.
오픈뱅킹시대를 맞아 지금까지 의존해 온 플러그인 방식을 버리고 보안성을 유지할 수 있는 근본적인 해결방안은 무엇일까?
전문가들은 ‘보안입력장치’를 가장 유력한 新보안정책으로 내세운다.
◆보안입력장치…IC칩·키패드·화면 통해 안전인증
인터넷뱅킹에서 가장 중요한 정보는 고객을 식별하고 해당 고객에게 적절한 권한을 부여하는 인증정보다. 만약 악성 프로그램이 사용자 PC의 키보드를 장악하게 되면 거래에 필요한 모든 인증정보가 노출될 수 있고 이를 이용해 공격자가 임의의 거래를 지시할 수 있어 상당히 위험하다.
따라서 고객의 인증정보가 PC의 키보드를 통해 입력되는 순간부터 서버로 전달될 때까지 안전하게 관리하고 전자서명 생성정보를 안전하게 저장하는 것이 인터넷뱅킹의 핵심 보안 요구사항이라 할 수 있다.
금융결제원의 금융정보보호센터는 다양한 웹브라우저 및 운영체제에서도 고객의 입력정보와 전자서명 생성정보를 안전하게 보호할 수 있는 ‘보안입력장치’를 대표적인 보조매체로 제안하고 있다.
보안입력장치라는 금융전용 소형단말을 도입하기 전 가장 우선적으로 고려해야 하는 부분은 당연히 ‘보안성’이다.
보안입력장치는 IC칩, 키패드, 화면으로 구성돼 있으며 고객이 입력한 인증정보, 거래정보, 전자서명을 암호화해 서버로 전송하는 기능을 가진다.<그림 참조>
현재 적용된 보안기술과 비교해 보면 보안입력장치는 기존의 보안토큰과 거래연동 방식의 OTP를 생성하는 영국의 ‘PINSentry’ 방식, 통신기능이 모두 통합된 소형단말로 볼 수 있다.
‘PINSentry’는 보안위협에 대응하기 위해 영국의 바클레이즈(Barclays) 은행에서 적용하고 있는 스마트카드형 OTP(일회용 비밀번호) 생성기로 단순 OTP와 함께 거래정보가 연동된 OTP를 생성한다. PC 등 서비스에 접속하는 단말과 연결할 필요가 없어 호환성을 저해하지 않으며 스마트카드만 소지하면 되기 때문에 사용이 편리하다.
이 같은 보안입력장치의 인증방식은 중요 입력정보에 대한 보호 뿐만 아니라 전자서명 처리를 별도의 단말에서 수행하기 때문에 현행 인터넷뱅킹 인증방식의 보안성을 향상시킬 수 있을 것으로 기대된다. 전문가들은 “보안입력장치의 인증방식이 다양한 인증방식 중 가장 안전성이 뛰어난 것”으로 보고 있다.
보안성 이외에 편의성도 고려해야할 대상이다. 아무리 강력한 보안장치라 해도 사용이 불편하다면 보기좋은 떡일 뿐이다.
보안입력장치는 USB형, 스마트카드와 카드리더기, UICC를 보유한 휴대폰 등 다양한 형태로 구현가능하다.
USB형 보안입력장치의 경우 기존 USB형 보안토큰에 키패드와 화면을 추가해 구현할 수 있다. 스마트카드와 카드리더기 형태는 카드리더기에 키패드와 화면을 부착하고 스마트카드의 IC칩을 활용해 구현할 수 있다. 휴대폰의 경우 휴대폰 단말의 키패드와 화면, UICC를 활용할 수 있다.
금융정보보호센터 관계자는 “보안입력장치를 적용하더라도 인터넷뱅킹 이용방식은 현행과 크게 달라지지 않을 것”으로 전망했다.
보안입력장치를 사용한다고 해도 PC에서 입력한 정보의 변조여부를 확인하거나 인증정보를 입력할 때만 사용되고 그 외 대부분의 서비스는 PC에서 해결 가능하기 때문이다.
단 PC만을 이용해 접속하는 경우 조회와 같은 단순 서비스만 이용할 수 있도록 제한하고 보안입력장치에 동시에 접속해야 이체 등 모든 서비스를 이용할 수 있도록 권장하고 있다.
◆서버연동, 웹표준기술…표준화 작업 선행돼야
보안입력장치를 인터넷뱅킹에 적용하기 위해서는 정책적으로 표준화 작업이 선행돼야 한다.
금융기관 별로 고유 보안입력장치를 배포하는 것보다 하나의 보안입력장치를 다수의 금융기관에서 이용하는 것이 관리비용을 줄임과 동시에 고객 편의성을 높일 수 있기 때문이다.
보안입력장치의 표준화 작업은 현재 금융 IC카드 표준에 보안토큰과 관련된 표준이 포함되어 있으므로 기존 표준안에 필요한 부분을 추가하는 형태로 진행될 수 있다. 휴대전화를 보안입력장치로 이용할 경우에는 UICC 에서 금융 IC카드 표준을 따르도록 반영할 필요가 있다.
또 인터넷뱅킹 서버는 PC 웹브라우저와의 채널 및 보안입력장치와의 채널을 연동시켜 관리하고 양 단말에서 입력된 값이 상호 전달돼 확인될 수 있도록 해야 한다.
단 다수의 금융기관이 공동으로 보안입력장치를 이용함에 따라 신규 이용기관 추가나 기존 이용기관의 정보변경 등이 요구될 수 있으므로 갱신작업이 복잡하지 않도록 주의해야 할 것이다.
금융정보보호센터는 “인터넷뱅킹의 호환성 개선을 위해서는 보안 플러그인 프로그램 뿐만 아닌 기타 기능을 제공하는 플러그인도 함께 제거되어야 한다”며 “가장 널리 이용되는 플래시 플러그인도 호환성을 저해할 요인이 될 수 있으므로 금융권에서 HTML5, CSS3 등 최신 웹 표준기술을 적용해 서비스를 구성하고 점차 플러그인 기술 이용을 최소화해야 한다”고 제안했다.
서울시 영등포구 여의도동 45-20 동북빌딩 505호 ㅣ 대표전화 : 02-783-2583ㅣ 팩스 : 02-783-2586
COPYRIGHT(C) 2000-2005 대한금융신문 All rights reserved.
Contact adthink@gmail.com for more information.
진행중인 라이브폴이 없습니다. 
