[칼럼]아이핀인증, 안전한가?

[에브리뉴스= 오힘찬 칼럼리스트]지난달, 온라인상 주민번호 수집이 전면 중단되었다. 개인정보를 보호하자는 차원으로 시행된 이번 정책은 ‘주민번호 = 공공제’라는 수식이 붙을 정도로 지켜지지 못했던 주민번호의 충분한 방어책이 될 것 이다. 하지만 여기서 문제점이 끝난 것이 아니다. 본인인증절차가 필요한 분야에서는 어떤식으로 본인인증을 진행해야 하는지 갈피를 못잡고 있는 것이다.

청소년들의 심야게임 이용을 금지하는 법안인 ‘셧다운제’를 위해선 게임 이용자가 청소년인지 성인인지 구분할 필요가 있다. 구분되지 못한다면 셧다운제라는 정책자체가 무슨 의미가 있으리. 그때문에 본인인증 절차가 완전히 사라질 수없는 것이고, 방법들로 제시된 것들이 바로 휴대폰인증과 아이핀인증이다. 필자가 이번에 다뤄보고자 하는 것은 바로 ‘아이핀인증’이다.

아이핀(Internet Personal Identiﬁcation Number, i-PIN)은 2005년 최초 가이드라인이 설정된 후 2006년 개정을 통해 시행된 ‘사이버신원확인번호’이다. 쉽게 얘기하면 가상의 주민번호로써 웹서비스들이 주민번호를 수집하고 이를 이용하거나 해킹을 통한 유출, 범죄악용으로 이어지자 이를 막아낼 대안으로 정보통신부와 한국정보보호진흥원이 개발했다. 지금은 한국 인터넷진흥원이 이를 관리하고 있으며, 6개의 아이핀센터에서 발급을 진행한다.

아이핀의 최대 장점으로 꼽혔던것은 바로 ‘주민번호의 노출방지’와 ‘웹서비스들의 주민번호 수집방지’로 주민번호에 대한 정보는 정부가 지정한 아이핀센터만 지니고 있기 때문에 가상의 번호를 통해 주민번호의 완전한 방어를 이룰 수 있다는 것이 정부의 주장이다. 한국인터넷진흥원은 '아이핀은 주민번호 대신 인터넷 상에서 신분확인을 위해 사용할 수 있는 식별번호로 주민번호 유출을 원천적으로 방지하여 안전한 인터넷 사용환경을 가능하게 합니다.'라고 아이핀을 설명하고 있다.

그런데 그런 효과를 내는 것이 현실적으로 가능할까? 정말 아이핀이 안전하냐는 말이다.

결론부터 말하자면 그렇지 않다. 먼저 주민번호도 식별번호이며, 아이핀도 식별번호이다. 아무리 아이핀이 주민번호를 감추는 가상의 주민번호라고 한들 아이핀으로 인증이 가능 하다는것은 아이핀ID와 비밀번호만 알면 주민번호를 아는 것과 같다는 의미가 된다. 뭔가 과정을 한 번 거치는것 같아 보이지만 조삼모사식 제자리걸음일뿐, 실제 직접 아이핀인증을 하지 않았는데 다른사람이 유출된 아이핀으로 인증을 시도하려다 인증 실패메일이 아이핀 소유자에게 전달되는사례도 적지 않게 발생하고 있다. 만약 실패하지 않고 인증된다면 말그대로 해킹인것이며, 이것이 주민번호 인증과 뭐가 다르다는 것일까?

무엇보다 직접적으로 주민번호를 노출하지 않지만 인증이 가능하다는 장점이 역으로 문제를 낳고 있다. 청소년들이 부모님의 주민번호를 도용하거나 사고 파는 거래가 이뤄지는 일은 비일비재 했다. 셧다운제나 성인사이트의 인증절차를 통과하기 위한 수단으로 그렇게 했던 것이다. 그런데 이거래가 아이핀에서도 나타나고 있다. 부모님 주민번호를 이용해 아이핀을 발급 받은 뒤 사고 파는 것이다. 오히려 실제 부모님의 주민번호를 거래하는것이 아니니 안전하다고 생각한 나머지 또다른 개인정보를 돈을 주고 파는 골치아픈 일이 갈수록 늘어나고 있다.

그뿐일까? 웹서비스들이 주민번호를 수집하고 있진 않지만, 아이핀센터들은 아이핀 발급을 위해 개인정보를 수집하고 있다. 웹서비스들을 공격하던 해커들이 역으로 아이핀센터를 공격하게 되면 어떻게 될까? 웹서비스들이 공격당해 개인정보를 유출했던 것보다 더 큰피해가 발생할 것이다. 웹서비스들에 분산되어 있던 정보가 아이핀에 집중적으로 몰려있으니 말이다. 정부가 지정했지만 이들조차 민간업체이며, 이들이 해킹을 완벽히 방어해 낼 수 있다고 누가 장담 할 수 있을까? 실제 이런 일이 일어난다면 정부가 책임져야 할 큰 해킹건이 될 것이다.

그리고 가장 큰 문제는 주민번호를 수집하지 않고 아이핀으로 인증을 하게 되었지만, 여전히 집주소나 전화번호와 같은 민감한 개인정보를 요구하고 있으며, 아이핀이 완전히 안전한 시스템이 아니라면 이런 정보를 잃을 수 있는 여지가 그대로 남아 있는 것이다. 더군다나 여기에 가중되어 아이핀인증으로 가입한 사이트의 정보도 민간사업자인 아이핀센터들이 지니게 되므로 주민번호만 제공하지 않을뿐 많은 개인정보를 제공해야하는 가입절차자체가 완전히 바뀐것은 아니기 때문에 주민번호가 아닌 아이핀을 사용한다고 해서 안전한 인터넷 사용환경을 가능하게 한다는 것은 심한비약이다.

이렇게 보면 아이핀은 아무런 쓸모 없는 제도인데 괜히 불편하게 만드는 존재로 보인다. 이런 제도를 정부를 왜 고집하고 있는 것일까?

아이핀 발급에 사용자들은 전혀 비용을 부담하지 않는다. 하지만 사업자가 아이핀 인증방식을 도입하게 되면 거기에따라 일부 비용을 아이핀센터에 지불해야 하며, 이것의 일부는 또 정부로 넘어가게 된다. 정확히 아무 쓸모없는 제도를 이용한 수수료사업을 진행하고 있는 것이다. 정부는 이런 아이핀 인증을 강요하고 있으며, 의무도 입을 통해 사용자를 늘려갈 생각이다. 지난해 8월에는 아예 학교에서 청소년들의 아이핀을 발급 할 수 있도록 하면서 아이핀 사용이 널리 퍼질 수 있도록 조장하고 있다.

아이핀은 안전하지 않다. 그리고 아이핀 인증을 위해선 여전히 액티브X가 필요해 다양한 웹환경을 위한 지원도 하지 않고 그저 자신들의 잇속만 챙기려는 이런 정책을 우린 언제까지 보고 있어야 할까? 정말 안전한 인터넷 환경을 제공하고 싶다면 그냥 내버려둬라. 그리고 개인정보를 수집한 업체들이 책임을 느낄수 있는 제도만 만들어라. 그럼 알아서 수집하려들지 않을 것이다.

이따위 겉만 번지르한 것으로 보안의 덫을 완전히 피했다는 착각을 계속 준다면 보안불감증도 계속될 것이며, 이는 한국의 인터넷 문화에 있어 매우 좋지 않은 영향을 줄 것이다.

<외부 필자의 원고는 본지의 편집 방향과 다를 수 있습니다.>

오힘찬 칼럼리스트