공인인증서 저장되는 NPKI 폴더 사라진다. 보안강화, HTML5 대응

한국인터넷진흥원(KISA)과 국내 5대 공인인증기관이 공동으로 NPKI(National Public Key Infrastructure, 국가공개키 기반구조) 폴더 사용 폐지에 나선다는 소식입니다. 공인인증서 유출 등으로 인한 피해를 최소화하고 HTML5 등 웹표준 기술을 지원하기 위해서라고 합니다.

현재까지 가장 유력한 방안은 SW방식의 보안토큰 채택입니다. 이는 공인인증서(공개키)의 복제와 부정사용 예방이 주요 기능으로 PC의 고유정보를 사용하고 별도의 인증키, 암호장치가 있어 저장매체(하드디스크)를 다른 PC에 탈착하는 형태로도 사용이 불가능합니다.

악성코드가 강제로 SW보안토큰에 저장된 공인인증서를 탈취하더라도 키쌍이 일치하지 않아 사용할 수 없는데 다만 소프트웨어로 구현돼 있어 HW보안토큰에 비해 보안성은 다소 떨어질 수 있지만 NPKI 폴더에 저장하는 현행 시스템보다는 크게 강화될 것으로 보입니다.

KISA와 공인인증기관들이 SW보안토큰 방식을 채택할 경우 사용자 편의와 신기술 대응 등 긍정적인 효과가 기대되는바 먼저 기존 시스템 대비 공인인증서 탈취로 인한 피해가 줄어들 수 있게 됩니다. 현재 공인인증기관들은 하드디스크, USB이동식디스크, 스마트폰 등에 NPKI 폴더를 생성하고 그곳에 공인인증서를 저장하는 방식을 사용하고 있어 이로 인해 공격자들은 NPKI 폴더를 탐색하고, 이를 압축해서 전송하는 기능을 갖춘 악성코드를 개발해 배포하고 있는 실정입니다.

SW보안토큰으로 공인인증서를 암호화해 보관할 경우, 공개키를 탈취당할 위험이 대폭 줄어들어 파밍으로 인한 피해가 최소화될 수 있고, 또 이는 HTML5 기반 전자서명 솔루션의 확산으로 이어질 수 있습니다. 현재 HTML5 기반 전자서명 솔루션들은 반쪽짜리에 불과하다. 웹표준 기술만으로는 로컬(하드디스크 등)에 저장된 공인인증서 등을 불러올 수 없기 때문입니다.

HTML5 기반 전자서명 솔루션을 사용하더라도 하드디스크나 이동식디스크, 스마트폰에 저장된 공인인증서를 불러오려면 또 다른 애플리케이션을 각각 설치해야하는 불편함이 생기게 되며 여기에 SW보안토큰이 적용될 경우 애플리케이션 설치를 최소화할 수 있어 사용자의 편의가 증대될 수 있고, 또한 웹브라우저 저장소 등에 보안토큰 적용이 가능해지면 별도 애플리케이션 설치 없이도 순수웹을 통해서 공인인증서 사용이 가능해집니다.

하지만 기존에 개인들이 사용하던 HW보안토큰과 나라장터 등에서 사용되는 지문보안토큰 등은 SW보안토큰과 함께 사용할 수 없습니다. 다만 필요시에는 기존과 동일하게 애플리케이션 추가 설치 등으로 해결할 수 있을 것으로 보입니다. 업계 관계자는 “공인인증서 탈취로 인한 국민들의 금전적 피해가 증가함에 따라 KISA와 공인인증기관들이 NPKI 폴더 없애기에 본격 나서고 있다”며 “올해 상반기 중 대략적인 모습이 나올 것으로 보인다”고 전했습니다.

http://www.ddaily.co.kr/news/article.html?no=127099