'뜨거운감자' 공인인증서 존폐 논쟁 치열

[김관용기자] 공인인증서 존폐 여부를 두고 논란이 끊이지 않는 가운데 전자서명법 개정안에 대한 찬반 주장도 치열하게 맞붙었다.

고려대학교 금융보안연구센터 주최로 23일 고려대학교 백주년기념관 국제회의실에서 열린 '공인인증서 개선방향 토론회'에서는 공인인증서 폐지를 주장하는 측과 공인인증서 존치를 주장하는 측이 첨예하게 대립했다.

이날 토론회에서는 국회 미래창조과학방송통신위원회 소속 최재천 의원이 대표발의한 전자서명법 개정안에 대한 찬반 토론이 이어졌다.

최재천 의원의 개정안은 현행 전자서명법을 전면 개정해 정부주도의 인증제도를 폐지하고 최상위 인증기관에 대한 검증 제도를 도입하는 것을 골자로 하고 있다.

◆"정부 주도의 인증제도 폐지해야"

전자서명법 개정안에 주도적으로 참여한 김기창 고려대 법학전문대학원 교수는 영국에서 화상회의를 통해 토론회에 참여했다.

김기창 교수는 "금융실명제 때문에 반드시 공인인증서를 써야 하는 것은 아니며 본인 당사자 확인 기술에 대해 정부가 개입해서 특정 기술을 반드시 써야 한다고 규정하는 것은 세계에서 유례가 없는 일"이라며 정부 주도의 공인인증서 폐지를 주장했다.

특히 김기창 교수는 "정부 주도의 공인인증체계는 우리나라 보안 기술 업계의 자생력을 지난 13년 동안 갉아먹고 국제 무대에서 경쟁하는 것을 막았다"면서 "우리나라는 3천만 국민에게 인증서를 발급하고 있지만 기술 자생력은 없고 정부 눈치만 보도록 해 시장 자체를 말살시켰다"고 강조했다.

김대영 충남대 정보통신공학과 교수는 개정안의 방향에 찬성하면서 "전자서명법 개정안에 대해서 여러가지 공격이 많은데 개정안은 공인인증서를 없애자는 법이 아니며 금융위원회가 위임받은 권리를 남용해 특정 기술을 강요하는 것을 막으려는 것이 목적이고 한국인터넷진흥원(KISA) 외에 복수의 인증기관을 두는 걸 허용해 달라는 취지"라고 말했다.

이와 함께 김대영 교수는 액티브X 환경 아래에서의 공인인증서 문제를 지적하면서 "공인인증서가 표준웹 환경을 결정적으로 방해하고 있다"고 주장했다.

그는 "국내 거의 모든 PC 환경이 액티브X 공격에 노출돼 있고 결과적으로 한국이 해커에게 더 없이 좋은 놀이터가 됐다"면서 "공인인증서 제도의 근본적 개선이 없다면 우리나라의 인터넷 보안은 최악의 후진국이 될 수밖에 없다"고 지적했다.

◆"액티브X와 공인인증 결부는 마녀사냥, 인증제도 꼭 필요"

이에 대해 전자서명법 개정안을 반대하는 측에서는 "공인인증서와 액티브X는 별개의 문제"라고 주장하면서 "정부 인증을 신뢰할 수 없으니 제3자의 전문기관으로부터 검증을 받자는 것은 무정부주의적 발상"이라고 강조했다.

공인인증기관인 한국정보인증의 박성기 부장은 "공인인증서제도는 우리나라만 갖고 있는게 아니라 호주, 일본, 스웨덴, 노르웨이, 중국 등 많은 인터넷 강국들이 도입하고 있다"면서 "오래전부터 각 나라마다 자국의 보안산업 보호를 위해 독자적인 자국의 인증보호체계를 구축해 해외 기업에 인증보안 산업이 종속되지 않게 보호하고 있다"고 말했다.

특히 박성기 부장은 "공인인증서를 없애고 페이팔처럼 서비스를 하면 안전하다고 보장할 수 있는 논리와 근거는 어디서 나온 것인지 모르겠다"며 "공인인증서의 액티브X는 수많은 종류 중 하나로 액티브X를 사용하지 않는 공인인증서 이용 기술도 이미 개발돼 상용화된 상태"라고 주장했다.

한국인터넷진흥원 정책연구실 이정현 책임연구원은 "모바일 뱅킹할 때 액티브X 없이도 공인인증서를 사용하는 것처럼 공인인증서와 액티브X는 무관하다"면서 "액티브X는 은행에서 사용하고 있는 기술 중 한가지에 불과한 것"이라고 말했다.

또한 이정현 연구원은 "전자서명법은 인프라"라고 주장하고 "이 인프라를 흔들어서 쏠림현상을 만들고 여기저기서 공인인증서만 쓰인다고 인프라를 흔드는 건 문제가 있다"고 지적했다.

배대헌 경북대 법학전문대학원 교수는 "전자서명법 개정은 필요하지만 현재 발의된 전자서명법 개정안대로 바뀌는 것은 문제가 있다"고 말했다.

배대헌 교수는 "전자서명을 하기 위해서 공인인증서로 당사자를 확인하고 공인인증서에 있는 공개키를 통해 확인하는 게 PKI 기술의 실체"라며 "2005년 기술에 머물러 있는 전자서명법을 향상된 기술 수준을 반영해 바꿔야 한다"고 강조했다.

◆ 전자서명법 개정안…

최재천 의원의 전자서명법 개정안은 정부가 인증업무 수행의 근본 원칙만을 정하고 인증기관 업무의 안전성과 신뢰성은 전문성을 가진 독립적 검증기관이 검증하도록 하고 있다.

특히 국내 인증기관들도 국제적으로 통용되는 기준에 따라 기술 안전성을 검증받도록 규정하고 있으며 검증을 거친 인증기관은 국내에서 차별 없이 인증서비스를 제공할 수 있도록 하고 있다.

이종걸 의원 또한 공인인증제도를 폐지하는 내용의 전자금융거래법 개정안을 발의한 상태로 전자금융거래법 제21조 3항 공인인증서 사용근거 부분을 개정해 금융위원회가 금융회사 등에게 특정 기술이나 서비스 사용을 강요할 수 없고 인증 및 보안 기술의 공정한 경쟁을 저해해서는 안 된다는 점을 명문화하고 있다.

이들 전자서명법 개정안과 전자금융거래법 개정안은 오는 9월 정기국회에 제출될 예정이다.