공인인증서: 한국의 디지털 신원 인증 체계

공인인증서: 한국의 디지털 신원 인증 체계

• 공인인증서의 개념과 발전
• 공인인증서의 기술적 구조
• 공인인증서의 주요 구성요소
• 공인인증서 발급 및 관리 체계
• 공인인증서 기반 전자서명 과정
• 공인인증서의 활용 분야
• 공인인증서의 보안 특성
• 공인인증서 관련 이슈와 한계
• 전자서명법 개정과 변화
• 차세대 인증 기술과 전망
• 결론
• Keywords

공인인증서의 개념과 발전

• 공인인증서(Public Certificate)는 전자서명법에 의해 공인인증기관이 발행하는 전자적 정보로, 온라인상에서 개인이나 법인의 신원을 증명하는 디지털 인증 수단
• 1999년 전자서명법 제정과 함께 도입되어 2020년 전자서명법 개정 전까지 한국의 대표적인 전자인증 체계로 활용
• 실제 인감도장과 동일한 법적 효력을 가지며, 전자상거래, 금융거래, 전자정부 서비스 등에서 활용
• 2020년 전자서명법 개정으로 '공인인증서'라는 명칭은 폐지되고 '인증서'로 명칭 변경

공인인증서의 기술적 구조

• PKI(Public Key Infrastructure, 공개키 기반구조) 기반의 인증 체계 사용
• X.509 v3 표준 기반으로 구현
• 인증서에 포함된 주요 정보:
  • 발급자 정보(Issuer)
  • 주체(Subject) 정보: 인증서 소유자의 식별 정보
  • 공개키(Public Key)
  • 유효기간(Validity Period)
  • 일련번호(Serial Number)
  • 서명 알고리즘(Signature Algorithm)
  • 인증기관의 디지털 서명(Digital Signature)

graph TD
    A[사용자] -->|인증서 발급 신청| B[등록대행기관 RA]
    B -->|신원확인 후 신청 전달| C[인증기관 CA]
    C -->|인증서 발급| A
    A -->|인증서 사용| D[웹사이트/서비스]
    D -->|인증서 유효성 검증| E[인증서 검증 서버]
    E -->|CRL/OCSP 확인| F[인증서 폐지 목록/상태 확인]

공인인증서의 주요 구성요소

1. 개인키(Private Key)

   • 사용자만이 소유하고 있는 비밀키
   • 전자서명 생성에 사용
   • 안전한 장소(하드디스크, USB, 스마트폰 등)에 암호화되어 저장

2. 공개키(Public Key)

   • 누구나 접근 가능한 키
   • 전자서명 검증에 사용
   • 인증서에 포함되어 배포

3. 인증서 정보

   • 발급자 정보
   • 사용자 정보
   • 유효기간
   • 용도 등의 정보 포함

공인인증서 발급 및 관리 체계

• 인증체계 구성 요소
  • 최상위인증기관(Root CA): 한국인터넷진흥원(KISA)
  • 공인인증기관(CA): 금융결제원, 한국정보인증, 한국전자인증, 코스콤, 한국무역정보통신 등
  • 등록대행기관(RA): 은행, 증권사 등 실제 발급을 대행하는 기관
  • 가입자: 인증서 사용자

graph TD
    A[최상위인증기관 - KISA] -->|인증| B1[공인인증기관 - 금융결제원]
    A -->|인증| B2[공인인증기관 - 한국정보인증]
    A -->|인증| B3[공인인증기관 - 한국전자인증]
    A -->|인증| B4[공인인증기관 - 코스콤]
    A -->|인증| B5[공인인증기관 - 한국무역정보통신]

    B1 -->|발급대행| C1[등록대행기관 - 은행들]
    B2 -->|발급대행| C2[등록대행기관 - 증권사들]
    B3 -->|발급대행| C3[등록대행기관 - 공공기관들]

    C1 -->|인증서 발급| D[최종사용자]
    C2 -->|인증서 발급| D
    C3 -->|인증서 발급| D

공인인증서 기반 전자서명 과정

1. 전자서명 생성 과정

   • 문서의 해시값(Hash) 생성
   • 사용자의 개인키로 해시값 암호화(서명 생성)
   • 원본 문서, 전자서명, 인증서를 함께 전송

2. 전자서명 검증 과정

   • 수신된 문서의 해시값 계산
   • 인증서에서 공개키 추출
   • 공개키로 전자서명 복호화하여 원본 해시값 획득
   • 두 해시값 비교로 무결성 및 부인방지 확인

sequenceDiagram
    participant A as 사용자
    participant B as 서비스 제공자

    A->>A: 문서 해시값 생성
    A->>A: 개인키로 해시값 암호화(서명 생성)
    A->>B: 문서 + 전자서명 + 인증서 전송

    B->>B: 문서 해시값 계산
    B->>B: 인증서에서 공개키 추출
    B->>B: 공개키로 전자서명 복호화
    B->>B: 해시값 비교로 무결성 검증

공인인증서의 활용 분야

• 금융거래

  • 인터넷뱅킹, 모바일뱅킹
  • 증권거래
  • 보험계약

• 전자정부 서비스

  • 정부24
  • 홈택스(국세청)
  • 4대보험 관리

• 기업 업무

  • 전자세금계산서
  • 전자계약
  • 법인 인감 대체

• 기타 인증 서비스

  • 공공 웹사이트 로그인
  • 온라인 민원처리
  • 각종 신고 및 신청

공인인증서의 보안 특성

• 기밀성(Confidentiality)

  • 개인키 암호화 저장
  • 인증서 발급 시 본인확인 절차 강화

• 무결성(Integrity)

  • 해시함수를 통한 데이터 무결성 보장
  • 전자서명으로 위변조 방지

• 인증(Authentication)

  • 인증기관을 통한 신원 확인
  • 비대면 환경에서 신원 증명

• 부인방지(Non-repudiation)

  • 전자서명의 법적 효력 인정
  • 거래 부인 불가능

공인인증서 관련 이슈와 한계

• 액티브X 의존성

  • 기존 공인인증서 시스템은 액티브X 기반으로 구현
  • 특정 브라우저, OS 종속성 문제 발생
  • 사용자 경험 저하와 호환성 문제

• 보안 취약점

  • 인증서 유출 및 도용 위험
  • 피싱 및 파밍 공격에 취약
  • 개인키 저장 매체의 보안 문제

• 사용성 문제

  • 복잡한 설치 및 사용 절차
  • 갱신 및 관리의 불편함
  • 다양한 플랫폼 지원 미흡

전자서명법 개정과 변화

• 2020년 5월 전자서명법 전면 개정
• 공인인증서 제도 폐지 및 다양한 전자서명 수단 인정
• 주요 변화:
  • '공인' 개념 폐지, 다양한 민간 인증 수단 법적 효력 인정
  • 시장 경쟁 체제로 전환
  • 기술 중립성 원칙 도입
  • 전자서명인증업무 평가・인정 제도 도입

timeline
    title 공인인증서 제도 변화
    1999 : 전자서명법 제정
         : 공인인증서 도입
    2002 : 공인인증서 의무화 시작
    2010 : 스마트폰 공인인증서 도입
    2015 : 일부 분야 공인인증서 의무사용 폐지
    2020 : 전자서명법 개정
         : 공인인증서 제도 폐지
    2021 : 다양한 민간 인증수단 활성화

차세대 인증 기술과 전망

• 생체인증 기술

  • 지문, 얼굴, 홍채 등 생체정보 활용
  • FIDO(Fast IDentity Online) 표준 확산
  • 모바일 기기 생체인증과 연계

• 블록체인 기반 인증

  • 탈중앙화 신원증명(DID) 기술
  • 자기주권신원(Self-Sovereign Identity) 개념 도입
  • 프라이버시 강화 및 데이터 주권 확보

• 간편인증 서비스

  • 카카오, 네이버, 통신사 등 민간 간편인증
  • 모바일 기반 인증 서비스 확대
  • 사용자 경험 중심의 인증 체계

• 제로트러스트 보안 모델

  • 지속적인 인증 및 검증
  • 상황 인식(Context-aware) 인증 체계
  • 다중 요소 인증(MFA) 강화

결론

• 공인인증서는 한국 디지털 인증의 근간으로 20년 이상 활용
• 전자서명법 개정으로 법적 독점 지위는 폐지되었으나, 여전히 중요한 인증 수단으로 활용
• 기술 발전과 사용자 요구에 맞춰 다양한 인증 기술과 공존하며 진화 중
• 보안성과 편의성의 균형을 맞춘 차세대 인증 기술로의 전환 필요
• 디지털 신원 관리의 패러다임이 중앙집중형에서 분산형으로 변화하는 추세

Keywords

PKI, 전자서명법, 디지털 인증, 인증기관, 전자서명, 개인키, 공개키, X.509, 디지털 신원, 부인방지