공인인증서와 한국 전자서명 체계의 전환

한국 디지털 신원 체계에 남긴 흔적

공인인증서는 온라인에서 사용자를 확인하고 전자문서의 위변조를 막기 위해 쓰인 전자서명 수단이다. 1999년 전자서명법 제정과 함께 도입된 뒤 전자상거래와 전자정부 서비스의 기반으로 자리 잡았다.

2020년 전자서명법 개정으로 ‘공인인증서’라는 명칭과 제도는 폐지됐다. 다만 전자서명, 인증서 검증, 공개키 기반 신뢰 구조라는 기술적 기반까지 없어진 것은 아니다. 현재의 인증 환경을 이해하려면 이 체계가 담당했던 역할과 전환 이후의 변화를 함께 볼 필요가 있다.

인증서가 증명하던 것

공인인증서는 공인인증기관이 발급한 전자적 정보로, 특정 전자서명이 특정인에게 유일하게 속한다는 사실을 증명했다. 발급 대상은 개인과 법인뿐 아니라 서버, 특수 목적용 인증서까지 포함했다.

이 인증서는 온라인 본인 확인에 사용됐고, 전자문서에 서명해 위변조를 확인할 수 있게 했다. 거래 사실을 부인하기 어렵게 만드는 부인방지 기능과, 데이터 암호화에 따른 기밀성 보장도 역할에 포함됐다.

공개키 기반 신뢰가 작동하는 방식

기술적 바탕은 PKI(Public Key Infrastructure, 공개키 기반구조)다. 공개키와 개인키 쌍을 쓰는 비대칭키 암호화, 문서 무결성을 확인하는 해시 함수, 그리고 신뢰할 수 있는 제3자로서 인증서를 발급하는 인증기관(CA, Certificate Authority)이 이 구조를 구성한다.

⤢✕

인증서 포맷은 X.509 v3 표준을 기반으로 하며, 인증서 버전과 일련번호, 발급자 정보, 유효기간, 소유자 정보, 공개키, 인증서 정책, 인증기관의 전자서명을 담는다.

발급부터 폐지까지의 운영 구조

국내 공인인증체계는 계층 구조로 운영됐다. 최상위인증기관(Root CA)은 한국인터넷진흥원(KISA)이 맡고, 금융결제원·한국정보인증·코스콤·한국전자인증 등이 공인인증기관(CA)으로 참여했다. 은행과 증권사 같은 등록대행기관(RA)은 인증서 신청과 발급을 대행했다.

⤢✕

인증서는 신청자 신원 확인 뒤 발급되며, 일반적으로 1년인 유효기간을 갱신할 수 있다. 개인키 유출 등의 사유가 생기면 폐지로 효력이 정지될 수 있고, 일시적으로 사용을 중지하는 효력정지도 가능하다. 검증 단계에서는 CRL(Certificate Revocation List) 또는 OCSP(Online Certificate Status Protocol)로 인증서 상태를 확인한다.

금융과 행정, 기업 시스템에서의 사용

공인인증서는 인터넷뱅킹, 주식거래, 보험계약 같은 금융 거래에 사용됐다. 민원서류 신청, 세금납부, 공공기관 서비스 이용 등 전자정부 영역에서도 활용됐다.

온라인 쇼핑몰 결제와 전자계약, 전자세금계산서와 기업 간 계약 같은 전자상거래 및 B2B 업무도 적용 대상이었다. 기업 내부시스템 접근 인증이나 VPN 연결처럼 내부 보안을 위한 용도도 있었다.

NPKI 저장 방식과 사용자 인증

NPKI(National PKI) 인증서는 PC의 특정 경로에 저장하는 하드디스크 방식이 가장 일반적이었다. USB나 스마트폰 같은 이동식 저장장치, 하드웨어 기반 보안장치인 보안토큰/HSM, USIM 또는 클라우드 서버에 저장하는 클라우드 방식도 사용됐다.

인증서 비밀번호는 최소 8자리 이상의 영문, 숫자, 특수문자 조합을 요구했다. 비밀번호를 5회 잘못 입력하면 인증서 사용이 제한됐다.

제도와 사용자 경험이 만난 한계

사용자 입장에서는 설치와 갱신 과정이 복잡했고, ActiveX나 전용 프로그램 설치가 필요했다. OS와 브라우저 환경에 따라 지원이 충분하지 않은 문제도 있었다.

PC에 인증서를 저장할 때는 악성코드 노출 위험이 따랐고, 키로깅을 통한 비밀번호 탈취 가능성도 있었다. 루트 인증기관이 단일화된 구조는 잠재적 위험으로 지적됐다. 특정 기술을 의무화하면서 시장이 경직되고 국제 표준과의 호환성이 떨어질 수 있다는 법제도적 문제도 제기됐다.

전자서명법 개정이 바꾼 경쟁 구조

2020년 5월 전자서명법이 전면 개정되면서 공인인증서 제도는 폐지됐다. 전자서명 수단 사이의 경쟁 체계로 전환됐고, 기술 중립성 원칙이 도입됐다.

⤢✕

공인인증기관은 전자서명인증사업자로 바뀌었다. 생체인증, 간편인증, 모바일 인증서 같은 수단이 등장했고, 시장 경쟁은 사용자 편의성 향상으로 이어졌다.

민간 전자서명과 분산형 신원의 흐름

카카오, 네이버, 통신사 PASS 등의 민간 간편인증 서비스는 패스워드, PIN, 생체정보 등 다양한 인증 요소를 활용한다. 생체인증은 지문, 홍채, 얼굴인식, 정맥인식 등을 쓰며 FIDO(Fast IDentity Online) 표준 기반 구현도 확대되고 있다.

블록체인 기반 인증에서는 DID(Decentralized Identifier) 기술과 자기주권신원(Self-Sovereign Identity) 개념이 확산되고 있다. 다요소 인증(MFA)은 지식 요소인 비밀번호, 소유 요소인 기기, 생체 요소를 조합해 보안성과 편의성의 균형을 추구한다.

인증서를 다루는 애플리케이션 코드

인증서 관련 개발에서는 PKCS(Public Key Cryptography Standards) 이해, 인증서 검증 로직, 암호화·복호화와 전자서명 처리가 필요하다. Java에서는 JCA(Java Cryptography Architecture), Bouncy Castle을 사용할 수 있고, .NET에서는 X509Certificate2 클래스가 있다. 웹 환경에서는 WebCrypto API와 OpenSSL이 주요 도구다.

// 인증서 로드
FileInputStream fis = new FileInputStream("certificate.der");
CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509Certificate cert = (X509Certificate)cf.generateCertificate(fis);

// 인증서 검증
cert.checkValidity(); // 유효기간 확인
PublicKey publicKey = cert.getPublicKey();

// 전자서명 검증
Signature sig = Signature.getInstance(cert.getSigAlgName());
sig.initVerify(publicKey);
sig.update(data);
boolean verified = sig.verify(signature);

디지털 신원 설계가 향하는 곳

디지털 신원 생태계는 중앙집중형 체계에서 분산형 신원 체계로 이동하고 있으며, 사용자 중심의 자기주권 신원(SSI)도 확산되고 있다. W3C DID와 Verifiable Credentials 표준 채택, eIDAS(유럽)와 NIST(미국) 등 국제 표준과의 정합성 강화가 이어지고 있다.

클라우드 기반 인증 확대, 제로 트러스트 보안 모델 적용, 양자내성 암호(Quantum-Resistant Cryptography) 도입 준비도 기술 발전 방향에 포함된다. 규제 샌드박스를 통한 혁신 지원과 글로벌 상호운용성 확보를 위한 노력 역시 함께 요구된다.

공인인증서는 한국의 디지털 신원 인증에서 중요한 이정표였다. 이제 시스템 설계자는 특정 인증 수단에 고정하기보다, 보안성과 사용자 편의성, 국제 호환성을 함께 고려하는 유연한 인증 환경을 구축해야 한다.