기출 공인인증서 제도의 폐지

공인인증서 제도의 폐지(정확하게는 '공인' 지위의 폐지와 공동인증서로의 전환)는 대한민국 IT(Information Technology, 정보 기술) 환경에서 Digital Transformation(DX, 디지털 전환)을 가속화한 중대한 기점이었습니다.

정보기술사(Professional Engineer Computer Information, 정보관리기술사)의 시각에서 바라본 공인인증 폐지의 긍정적·부정적 영향 및 기술적 제언을 정리해 드립니다.

1. 개요

2020년 Digital Signature Act(전자서명법) 개정안이 시행됨에 따라, 기존 국가 주도의 '공인인증서'가 가졌던 독점적 지위가 폐지되었습니다. 이는 시장의 자율성을 부여하고 다양한 Public Key Infrastructure(PKI, 공개키 기반 구조) 기술의 경쟁을 유도하기 위함입니다.

2. 긍정적 영향 (Positive Impacts)

① 기술적 혁신 및 생태계 다양성 확보

• Active-X 및 NPAPI(Netscape Plugin Application Programming Interface, 넷스케이프 플러그인 애플리케이션 프로그래밍 인터페이스) 탈피: 특정 브라우저나 OS(Operating System, 운영 체제)에 종속되었던 플러그인 방식에서 벗어나, Web Standard(웹 표준) 기반의 인증 체계로 전환되었습니다.
• 다양한 인증 알고리즘 도입: 기존의 SEED(국산 128비트 블록 암호 알고리즘) 위주에서 AES(Advanced Encryption Standard, 고급 암호화 표준), ECC(Elliptic Curve Cryptography, 타원 곡선 암호) 등 글로벌 표준 알고리즘 도입이 활발해졌습니다.

② User Experience(UX, 사용자 경험) 개선

• 인증 절차 간소화: 복잡한 비밀번호 대신 FIDO(Fast Identity Online, 신속한 온라인 인증) 기반의 생체 인증(지문, 안면 인식)이나 간편한 PIN(Personal Identification Number, 개인 식별 번호) 번호 사용이 가능해졌습니다.
• 접근성 향상: 모바일 환경 최적화를 통해 언제 어디서든 스마트폰 앱을 통한 전자서명이 가능해졌습니다.

③ 보안 시장의 경쟁 활성화

• Private Certificate(사설 인증서) 시장 성장: 카카오, 토스, 네이버 등 대형 플랫폼 사업자들이 Cloud HSM(Hardware Security Module, 클라우드 하드웨어 보안 모듈) 기술 등을 활용한 자체 인증 서비스를 출시하며 보안 시장의 기술 경쟁을 촉진했습니다.

3. 부정적 영향 (Negative Impacts)

① 인증 수단의 파편화 (Fragmentation)

• Interoperability(상호 운용성) 결여: 각 기관이나 사이트마다 지원하는 민간 인증서가 상이하여, 사용자는 여러 개의 인증서를 발급받고 관리해야 하는 번거로움이 발생했습니다.
• 플랫폼 종속성: 특정 대형 플랫폼의 인증 서비스에 의존도가 높아지면서, 해당 플랫폼의 장애가 발생할 경우 인증 생태계 전체가 마비되는 리스크가 존재합니다.

② 보안 책임의 전도 및 관리 포인트 증가

• Identity Provider(IdP, 신원 확인 제공자) 보안 리스크: 과거에는 국가가 지정한 기관이 관리했다면, 이제는 민간 사업자의 보안 역량에 전적으로 의존하게 됩니다.
• Phishing(피싱) 및 Smishing(스미싱) 타깃 확대: 다양한 인증 수단이 등장함에 따라, 사용자들은 가짜 인증 앱이나 서명 요청 메시지를 구분하기 더 어려워졌습니다.

③ 기술적 복잡도 상승

• API(Application Programming Interface, 애플리케이션 프로그래밍 인터페이스) 연동 부담: 서비스 제공자(Service Provider)는 다양한 민간 인증 사업자의 규격에 맞춰 개별적으로 연동하거나, 별도의 통합 인증 중계 서비스를 도입해야 하는 비용적·기술적 부담이 발생합니다.

4. 기술사적 관점의 종합 분석

공인인증 폐지는 단순히 인증서의 명칭이 바뀐 것이 아니라, Centralized Identity(중앙 집중형 신원 증명)에서 Decentralized Identity(DID, 분산 신원 증명) 및 민간 주도형 체계로 패러다임이 시프트(Shift)된 것을 의미합니다.

SaaS: Software as a Service (서비스형 소프트웨어)

5. 제언

향후에는 Zero Trust(제로 트러스트, 아무것도 신뢰하지 않는 보안 원칙) 관점에서 인증을 바라보아야 합니다. 단일 인증 수단에 의존하기보다는 MFA(Multi-Factor Authentication, 다요소 인증)를 강화하고, OAuth(Open Authorization, 오픈 인증) 2.0 및 SAML(Security Assertion Markup Language, 보안 어설션 마크업 언어)과 같은 글로벌 표준 프로토콜을 적극 수용하여 상호 운용성을 확보하는 전략이 필요합니다.

혹시 특정 민간 인증서에 적용된 DID(Decentralized Identity, 분산 신원 확인) 기술의 아키텍처나 구체적인 구현 방식에 대해 더 자세한 설명이 필요하신가요?