공인인증서와 PKI 기반 전자서명의 구조
공인인증서의 PKI 구조와 전자서명 검증 방식, 발급 체계, 전자서명법 개정 이후 인증 환경의 변화를 정리한다.
2026-08-14 · 최초 발행 2025-06-02
한국 전자 인증 체계로 자리 잡았던 공인인증서
공인인증서(Public Certificate)는 전자서명법에 따라 공인인증기관이 발행한 전자적 정보로, 온라인에서 개인 또는 법인의 신원을 증명하는 디지털 인증 수단이다. 1999년 전자서명법 제정과 함께 도입됐고, 2020년 전자서명법 개정 전까지 한국의 대표적인 전자 인증 체계로 쓰였다.
전자상거래와 금융거래, 전자정부 서비스에서 실제 인감도장과 같은 법적 효력을 갖는 수단으로 활용됐다. 2020년 전자서명법 개정 이후에는 ‘공인인증서’라는 명칭이 폐지되고 ‘인증서’로 바뀌었다.
인증서 안에 담기는 신뢰 정보
공인인증서는 공개키 기반구조(PKI, Public Key Infrastructure)를 사용하며, X.509 v3 표준을 바탕으로 구현된다. 인증서에는 발급자(Issuer), 인증서 주체(Subject)의 식별 정보, 공개키(Public Key), 유효기간(Validity Period), 일련번호(Serial Number), 서명 알고리즘(Signature Algorithm), 인증기관의 디지털 서명(Digital Signature)이 포함된다.
등록대행기관(RA)은 사용자의 신청과 신원 확인을 처리하고, 인증기관(CA)은 인증서를 발급한다. 서비스는 인증서 검증 서버를 통해 인증서의 유효성을 확인하며, 이때 인증서 폐지 목록과 상태 정보인 CRL 및 OCSP를 확인한다.
개인키와 공개키가 맡는 역할
개인키(Private Key)는 사용자만 보유하는 비밀키로, 전자서명을 생성할 때 사용한다. 하드디스크, USB, 스마트폰 등의 안전한 저장소에 암호화해 보관한다.
공개키(Public Key)는 누구나 접근할 수 있는 검증용 키다. 인증서에 포함돼 배포되며, 전자서명이 해당 개인키로 생성됐는지 검증하는 데 쓰인다. 인증서 정보에는 이 밖에도 발급자 정보, 사용자 정보, 유효기간, 용도 등이 들어간다.
발급과 신원 확인을 나누는 인증 체계
인증 체계는 최상위인증기관(Root CA), 공인인증기관(CA), 등록대행기관(RA), 가입자로 구성된다. 최상위인증기관은 한국인터넷진흥원(KISA)이며, 공인인증기관에는 금융결제원, 한국정보인증, 한국전자인증, 코스콤, 한국무역정보통신 등이 있다. 은행과 증권사 같은 등록대행기관은 실제 발급 절차를 대행하고, 가입자는 인증서를 사용하는 최종 사용자다.
전자서명은 어떻게 생성되고 검증되는가
전자서명을 만들 때는 먼저 문서의 해시값(Hash)을 생성한다. 사용자의 개인키로 이 해시값을 암호화해 서명을 만들고, 원본 문서와 전자서명, 인증서를 함께 전송한다.
수신자는 문서의 해시값을 다시 계산한 뒤 인증서에서 공개키를 꺼낸다. 공개키로 전자서명을 복호화해 원본 해시값을 얻고, 두 해시값을 비교한다. 이 과정으로 문서 무결성과 부인방지를 확인한다.
금융·행정·기업 업무에서의 사용
공인인증서는 인터넷뱅킹과 모바일뱅킹, 증권거래, 보험계약 같은 금융거래에 사용됐다. 전자정부 영역에서는 정부24, 홈택스(국세청), 4대보험 관리에 활용됐다.
기업 업무에서는 전자세금계산서, 전자계약, 법인 인감 대체 수단으로 쓰였고, 공공 웹사이트 로그인, 온라인 민원처리, 각종 신고와 신청에도 적용됐다.
전자서명이 제공하는 보안 속성
개인키를 암호화해 저장하고 인증서 발급 시 본인확인 절차를 강화하는 방식은 기밀성(Confidentiality)을 뒷받침한다. 해시함수와 전자서명은 데이터 위변조를 막아 무결성(Integrity)을 보장한다.
인증기관을 통한 신원 확인은 비대면 환경에서 인증(Authentication)을 가능하게 한다. 전자서명의 법적 효력은 거래 사실을 부인하기 어렵게 하는 부인방지(Non-repudiation)와 연결된다.
사용 과정에서 드러난 제약
기존 공인인증서 시스템은 액티브X 기반으로 구현돼 특정 브라우저와 OS에 종속되는 문제가 있었다. 이는 호환성과 사용자 경험을 떨어뜨리는 요인이 됐다.
인증서 유출과 도용, 피싱 및 파밍 공격, 개인키 저장 매체의 보안 문제도 위험 요소였다. 복잡한 설치와 사용 절차, 갱신 및 관리의 불편함, 다양한 플랫폼 지원 부족 역시 사용성 측면의 한계로 남았다.
전자서명법 개정으로 바뀐 인증 환경
2020년 5월 전자서명법이 전면 개정되면서 공인인증서 제도는 폐지됐다. ‘공인’ 개념이 사라지고 다양한 민간 인증 수단의 법적 효력이 인정됐으며, 인증 시장은 경쟁 체계로 전환됐다.
개정에는 기술 중립성 원칙과 전자서명인증업무 평가·인정 제도도 포함됐다.
디지털 신원 인증이 향하는 방향
생체인증은 지문, 얼굴, 홍채 같은 생체정보를 활용하며 FIDO(Fast IDentity Online) 표준 확산과 모바일 기기 생체인증 연계가 진행되고 있다.
블록체인 기반 인증에서는 탈중앙화 신원증명(DID)과 자기주권신원(Self-Sovereign Identity) 개념을 통해 프라이버시 강화와 데이터 주권 확보를 다룬다. 카카오, 네이버, 통신사 등의 민간 간편인증은 모바일 기반 서비스 확대와 사용자 경험 중심 인증 체계를 보여준다.
제로트러스트 보안 모델은 지속적인 인증과 검증, 상황 인식(Context-aware) 인증, 다중 요소 인증(MFA) 강화를 지향한다. 공인인증서는 20년 이상 한국 디지털 인증의 근간으로 활용됐고, 법적 독점 지위가 폐지된 뒤에도 중요한 인증 수단으로 쓰이고 있다. 인증 환경은 다양한 기술과 공존하면서 중앙집중형에서 분산형 디지털 신원 관리로 변화하는 추세다.