전자금융거래의보안강화방안및 OTP(One Time Password) 이용현황 전문연구역백미연 (judy91@kftc.or.kr) Ⅰ. 들어가며 71 Ⅱ. 전자금융사고 73 1. 특징 73 2. 주요사례 76 Ⅲ. 보안강화방안 78 1. 이중요소인증강화 79 2. 기존인증수단의보완 81 3. 이용자정보보호강화 82 Ⅳ. OTP 이용현황 83 1. 개념및도입배경 83 2. 특성 84 3. 생성방식 85 4. 생성매체 88 5. 도입현황 94 Ⅴ. 시사점 95 1. OTP 통합인증 95 2. OTP 도입시고려사항 97 3. 양방향인증의필요성대두 98 Ⅵ. 맺음말 99 참고문헌 100 70 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 Ⅰ. 들어가며 전화나인터넷, 휴대폰등일상생활에서쉽게접할수있는전자매체를통해누구나편리하게이용할수있는전자금융서비스의거래비중이창구거래보다높다는사실은이제놀랄만한일이아니다. 그만큼전자금융거래가활성화되었다는의미이다. 전자금융거래의활성화에는은행의인터넷뱅킹서비스제공이한몫을하였다. 인터넷뱅킹서비스는 1990년대후반은행이외환위기극복과정에서금융서비스제공채널을다양화하여점포의운영비용을절감하고경영효율화를제고하기위한전략의하나로제공되었다. 이용자가 CD/ATM이설치되어있는장소에직접찾아가서이용하는 ATM서비스나콜센터의안내에의존하여거래가이루어지는텔레뱅킹서비스와다르게인터넷뱅킹서비스는인터넷접속이가능한곳이면어디서나이용자가직접화면을보면서금융거래를할수있기때문에다른전자금융서비스에비해빠르게이용이증가하고있다. < 표 1> 전자금융서비스주 ) 이용현황 ( 단위 : %) 인터넷뱅킹 (8.8) 인터넷뱅킹 (31.6) CD/ATM(37.1) CD/ATM(26.3) 텔레뱅킹 (4.8) 텔레뱅킹 (12.0) 2001.12 2002.12 2003.12 2004.12 2005.12 구분 2001.12 2002.12 2003.12 2004.12 2005.12 전자금융거래 57.7 60.0 65.9 69.9 69.9 창구거래 42.2 40.0 34.1 30.1 30.1 주 ) CD/ATM, 텔레뱅킹, 인터넷뱅킹처리비중 자료 : 한국은행 표1과같이 ATM서비스와텔레뱅킹서비스의이용비중이점점줄어들거나변화가없는점에비해인터넷뱅킹서비스의이용비중은 2001년 8.8% 에서 2005년 31.6% 로 5년 2006. 4 71
사이에약 4배가증가하였고등록고객도 2005년말에국내인구의 50% 가넘는 2천 7백만명을기록하여인터넷뱅킹서비스가전자금융거래의활성화에주도적인역할을하고있음을알수있다. 그러나인터넷뱅킹서비스 < 표2> 전자금융서비스이용이유의긍정적인역할에도불구 ( 단위 : %) 하고대부분의이용자는인 67.6 편리성터넷뱅킹서비스의보안성에 61.2 의문을제기하고있다. 한국 17.3 신속성 15.5 소비자보호원이최근전자금시간 / 2.5 공간제약성 14.3 ATM서비스융서비스이용자를대상으로 9.1 인터넷뱅킹서비스조사한자료를보면이용자안전성의대부분이이용이편리하 1.6 비용저렴 6.1 고처리가신속하기때문에 1.9 기타 ATM서비스와인터넷뱅킹 2.9 서비스를이용하지만안전하자료 : 한국소비자보호원기때문에전자금융서비스를이용한다고응답한비율은 ATM서비스이용자가 9% 인데비해인터넷뱅킹서비스는 0% 로한명도없다 ( 표2 참조 ). 그만큼인터넷뱅킹서비스의안전성에대한이용자의불안감이다른전자금융서비스보다높다는의미이다. 인터넷뱅킹서비스는거래의안전성보다이용의편리성을더중요하게여겨왔다고해도과언이아니다. 인터넷뱅킹서비스의제공동기중의하나가창구운영비용의절감이었기때문에창구거래이용자를인터넷뱅킹서비스로유도하기위해서는이용의편리성을강조하는것이훨씬유리하기때문이다. 그러나언제어디서나불특정다수의접근이용이한개방형네트워크를통해제공되는인터넷뱅킹서비스는보안위협에노출될수밖에없기때문에그동안크고작은전자금융사고가발생하였다. 대표적인예가개인정보유출로인한전자금융사고이다. 인터넷뱅킹서비스제공초기에는주로이용자본인의부주의로인해개인정보가유출되어전자금융사고로이어졌지만최근에는해킹을당하거나피싱 (Phishing) 과같은고도화된부정 (Fraud) 수법에의한개인정보유출에서기인하고있다. 72 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 2005년국내에서처음발생한인터넷뱅킹서비스해킹사고 1) 는최근전자금융사고의특징을한번에파악할수있는대표적인사례가되었고, 이사고를계기로금융감독원은전자금융거래의보안을강화할수있는종합대책을발표하였다. 발표된내용에는전자금융서비스이용자의컴퓨터용보안프로그램제공의무화를비롯하여인터넷을이용한빠른조회서비스폐지, 보안카드이용방법개선등과같은방안이포함되어있다. 그러나여러가지방안중에서개인정보유출로인한전자금융사고의피해를최소화하고전자금융서비스이용자의안전한금융거래를위하여은행에사용자인증수단의하나인 OTP(One Time Password) 를도입하도록한것과 OTP를은행개별로운영하는데따른문제등을해결하기위하여 OTP 통합인증센터를설립하는내용이은행의높은관심을받고있다. 따라서본고에서는최근발생하고있는전자금융사고의특징과주요사례를통해그대응책으로제시된보안강화방안을알아보고, 그중에서은행의관심이집중되고있는 OTP의이용현황과시사점을살펴보고자한다. Ⅱ. 전자금융사고 1. 특징 일반적으로창구거래는서면거래에의한자필증거가있고대면거래이기때문에은행이이용자를확인하기가상대적으로쉬운반면, 전자금융거래는비서면, 비대면거래이기때문에은행은전자금융서비스이용자가정당한본인인지아닌지를인증하기가쉽지않다. 따라서전자금융거래의취약한사용자인증을악용한전자금융사고가늘어나고있다. 해커가인터넷상에서해킹이나피싱등으로획득한피해자의개인정보를이용하여해커자신이마치정당한사용자인것처럼인터넷뱅킹서비스에정상적으로접속한후피해자의예금을불법인출하는사고가대표적이다. 최근인터넷뱅킹이나텔레뱅킹등전자금융서비스에서발생하고있는전자금융사고의특징을살펴보면다음과같다 2). 1) 해커는불특정다수가접속하는인터넷카페에넷데블 (NetDevil) 이라는해킹프로그램을게시하여이를접속하는사람의컴퓨터에해킹프로그램이자동설치되도록하였다. 은행인터넷뱅킹서비스이용자가해당카페에접속하게되었고본인도모르게해킹프로그램이컴퓨터에설치된상태에서인터넷뱅킹서비스를이용함으로써보안카드번호, 계좌비밀번호등개인정보가해커에게노출되었다. 해커는피해자의개인정보를이용하여피해자의공인인증서를재발급받아인터넷뱅킹서비스로 5 천만원을인출하였다. 2) 본고에서는업무운영중에발생하는전산장애나은행내부직원의전산조작등에의한금융사고는논외로한다. 2006. 4 73
첫째, 최근전자금융사고는해킹등에의해비밀번호, 계좌번호같은개인정보의유출로발생하고있다. 불특정다수의개인정보를획득하기위하여주로이용되는해킹프로그램으로피싱과키로깅 (Keylogging) 3) 이있다. 피싱에의한개인정보유출과정은간단하다. 해커는우선인터넷에특정은행의홈페이지와유사한사이트를불법으로개설해놓는다. 그리고블특정다수에게마치은행이직접이메일을전송한것처럼위장하여계좌정리등에필요하다는명목으로불법사이트에접속하게한후이용자가입력한개인정보나금융정보를빼내는것이다. 키로깅에의한개인정보유출은이용자자신도모르게설치된키로깅해킹프로그램에의하여이용자가키보드로입력하는모든내용을해커가훔쳐봄으로써발생된다. 앞서설명한국내최초인터넷뱅킹서비스해킹사고도피해자의개인정보가키로깅에의해유출된후발생하였다. 피싱과키로깅은개인정보유출피해를당할수있다는점은똑같지만피싱은이용자가어느정도세심하게주의를기울이면피해를막을수있는데비하여키로깅은이용자자신이해킹을당하였는지조차알아차릴수없다는점에서더심각한피해가우려되는해킹수법이라고할수있다 ( 표3 참조 ). < 표 3> 피싱과키로킹에의한개인정보유출및전자금융사고 구분피싱키로깅 해커 ( 피셔 ) - 특정은행의가짜사이트를만들어놓고불특정다수에게이메일을보내사이트에접속하도록유도 - 인터넷을통해불특정다수의컴퓨터에키로깅해킹프로그램설치 피해자 - 가짜사이트에접속하여아이디, 비밀번호, 공인인증서등입력 - 평상시처럼인터넷뱅킹서비스에접속하여아이디, 비밀번호, 공인인증서등입력후금융거래 해커 ( 피셔 ) - 확보한개인정보를이용하여인터넷뱅킹서비스에접속한후피해자의예금인출 - 키로깅에의하여확보된개인정보를이용하여인터넷뱅킹서비스에접속한후피해자의예금인출 3) 키로깅프로그램의감염경로는주로 S/W 다운로드나이메일첨부, P2P 전송을통해서이루어진다. 74 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 해킹등에의한개인정보유출은피해자와은행의금전적인손실로이어진다. 금융기관이나전자상거래업체가피싱이메일의주요발신지인피싱대상기관으로악용되고있는점도유출된개인정보를주로금전을불법으로취득하는데이용하려는것임을알수있다 ( 표4 참조 ) 4). 가트너그룹에의하면미국의경우 2003년한해에만피싱에의한개인정보유출로 12억달러의금전적손실을보았다고한다. 그러나개인정보유출에따른계좌재발급비용이나전자금융서비스이용에대한불안감으로전자금융거래가감소하는데따른손실등간접비용까지감안하면실제손실비용은더클것으로예상된다. < 표 4> 피싱대상기관 100 ( 단위 : %) 80 60 40 20 0 2005.11 2005.12 2006. 1 2006. 2 구 분 2005.11 2005.12 2006. 1 2006. 2 기 타 4 1 1 2 전자상거래업체 48 46 41 35 금융기관 48 53 58 63 자료 : KISA 둘째, 최근해킹에의한전자금융사고는이용자의개인컴퓨터에서부터시작되고있다. 지금까지해커의주공격대상은기업의전산시스템이었다. 그러나기업이방화벽을설치하고지속적인대응방안마련등을통해보안을강화하면서해킹이어려워지자상대적으로보안인식이낮고안전조치가미흡한개인컴퓨터가해킹당하기시작한것이다. 특히가정에서이용하는컴퓨터의대부분은보안조치가전무한상태이기때문에해커의공격대상으로떠오르고있다. 2005년에발생한인터넷뱅킹서비스해킹사고도바로은행의전산시스템이해킹을당한것이아니라이용자의컴퓨터가해킹을당하여개 4) 국내에서는인터넷뱅킹서비스를이용할경우공인인증서, 보안카드등을사용하여야하므로실제피싱에의한해킹사고는국외보다상대적으로안전한편이라고한다. 따라서국내발생피싱관련사고의대부분은경유지사이트로악용된사고이다. 2006. 4 75
인정보가유출된데서시작되었다. 따라서앞으로해킹에의한전자금융사고를최소화하기위해서는은행의전산시스템만보호하는보안대책으로는부족하며전자금융서비스이용자가거래시사용하는컴퓨터의보안대책도함께마련되어야할것이다. 셋째, 전자금융거래의보안을위협하는공격적인해킹수법이계속등장하여전자금융사고의발생가능성이점점높아지고있다. 피싱이나키로깅은이미고전적인해킹수법이될정도이다. 최근에는해커가은행의공식홈페이지를중간에서가로채어이용자들이늘이용하던사이트로오인하게만든후개인정보를탈취하는파밍 (Pharming) 이라는해킹수법이등장하여전자금융거래의보안을위협하고있다. 또한무선네트워크를이용한서비스제공이증가하면서가짜무선네트워크를만들어여기에접속하는이용자의개인정보를탈취하는에블트윈스 (Evil Twins) 도등장하여또다른전자금융사고의발생이예상된다. 파밍이나에블트윈스등최근등장한해킹수법은이용자의세심한주의에의존하기에는너무나지능적이어서이용자가그대로피해를입을수밖에없기때문에은행은지금보다더강력한새로운보안방안을준비하여야한다. 2. 주요사례 최근금융감독원이발표한자료를보면 2000년대초반의전자금융사고는주로마그네틱카드의위 변조사고가많았던반면에 2004년부터는인터넷뱅킹서비스와텔레뱅킹서비스의개인정보유출로인한전자금융사고가대부분이다 ( 표5 참조 ). < 표 5> 전자금융사고현황 구분 2002 년 2003 년 2004 년 2005 년 1) 인터넷뱅킹 1(71) 2) - 1(3) 2(67) 텔레뱅킹 - 1(10) 5(162) 5(186) 카드복제 4(452) 6(66) 6(26) - 계 5(523) 7(76) 12(191) 7(253) 주 ) 1. 2005 년 7 월현재 2. ( ) 은금액임 자료 : 금융감독원 ( 단위 : 건, 백만원 ) 76 특히 2005년에발생한은행의인터넷뱅킹서비스해킹사고는초보해커가인터넷상에서쉽게얻을수있는해킹프로그램을사용하여일으켰다는점에서상당히충격적인사고였다. 텔레뱅킹서비스는전화도청에의한개인정보유출로인해피해자의예금이불법인출되는사고가발생하였다 ( 표6 참조 ). 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 < 표 6> 국내전자금융사고사례 구분 내 용 발생시기 인터넷뱅킹 - 범인이피해자의인터넷뱅킹용 ID, 비밀번호를도용하여피해자의예금을인터넷뱅킹서비스를이용하여인출 - 범인이피해자의컴퓨터에키로깅프로그램을설치하여피해자의개인정보를불법으로획득하고피해자의예금을인터넷뱅킹서비스를이용하여인출 2005. 3 2005. 6 - 신원미상의범인이피해자의예금을텔레뱅킹서비스를이용하여인출 텔레뱅킹 총 6건발생, 이중 3건은전화도청에의한사고로추정, 나머지 3건은개인정보 2005. 1~7 유출에따른사고로추정되나유출경로불명 자료 : 머니투데이 해외에서발생한전자금융사고도대부분해킹에의한개인정보유출에서비롯되었다. Javelin Strategy Research 자료에의하면미국은 2005년한해동안무려전국민의 4% 에해당하는 890만명이개인정보유출사고를당하였으며피해금액도 1인당평균 6,383 달러라고한다 5). 또한매달약 23% 의인터넷이용자가피싱이메일을받고있는데이들은의심스러운이메일은절대열어보지말라는안내문구를거의매일접하고있 < 표 7> 해외전자금융사고사례 구분 내 용 발생시기 인터넷뱅킹 - 중국인해커가싱가포르은행의인터넷뱅킹서비스를해킹하여 21개계좌에서 3만 5천달러인출 - 라트비아인해커가 BOA 고객의컴퓨터에키로깅프로그램을설치하여개인정보를빼낸뒤피해자의계좌에서 9만달러인출 - 해커가키로깅프로그램을통해개인정보를빼낸뒤 6개은행의 200여개계좌에서 470만달러인출 브라질에서발생됨 2002 2005 2005. 5 - 해커가체이스맨해튼은행이용자를대상으로피싱이메일을통해개인정보유출 피싱이메일의발신지로중국 3대은행중의하나인건설은행이악용됨 2006. 3 자료 : 각신문기사 5) www.bbb.org, News & Articles, 2006. 1.31 2006. 4 77
음에도불구하고그중 70% 가진짜이메일로오인하여개인정보를노출시킬만큼피싱의위협은여전히진행중이어서실제드러나지않은전자금융사고와그로인한피해액은더클것이라고한다 6). 최근에는키로깅에의한해킹까지가세하여은행예금이불법인출되는사고가발생하고있다 ( 표7 참조 ). Ⅲ. 보안강화방안 보안카드나공인인증서와같은이중삼중의안전장치를갖추고있어다른나라에비해상대적으로안전할것으로여겨진국내은행의인터넷뱅킹서비스에서해킹사고가일어나자, 누구라도해킹의피해자가될수있다는경각심과함께은행과감독기관이나서서전자금융거래의보안을강화할수있는대대적인대응방안을마련하는계기가되었다. 이방안에는은행이외에증권, 보험, 전자상거래에서의해킹방지와개인정보유출을최소화하는보안조치방법등이포함되어있는데은행부문의강화방안을살펴보면다음과같다 ( 표8 참조 ). < 표 8> 금융감독원의전자금융거래보안강화방안주요내용 구분인터넷뱅킹, 텔레뱅킹 ATM 주요내용 ( 의무 ) - 보안등급 (3등급분류 ) 에따른거래한도차등적용 - 보안카드유효비밀번호확대 - OTP 도입 - 보안계좌신설및고객서면동의강화 - 비밀번호오류횟수매체별통합관리 - 중요거래사항 ( 공인인증서재발급, 한도증액등 ) 에대한휴대폰 SMS 고객통지의무활성화 - 인터넷뱅킹빠른조회서비스폐지 - 착신금지전화, 선불폰, 선불카드폰등에의한텔레뱅킹제한 - 무매체거래이체, 출금시전용비밀번호또는보안카드사용 - 점내용 CD/ATM에도암호화적용 적용시기 2006.12 2006. 3 2006.12 2006. 3 2005.12 2005.12 2005.12 주 ) 권고사항 2005.12 2006. 6 주 ) 사용자의불편등을감안하여적용시기가 2006. 3 월로변경됨 6) AOL/NCSA Online Safety Study, America Online and National Cyber Security Alliance, 2005.12 78 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 1. 이중요소인증강화 개인정보유출로인한전자금융사고의발생을줄일수있는방법중의하나는강력한사용자인증을수행하는것이다. 인증 (Authentication) 은은행이사용자를정당한본인이라고증명하는것이다. 전자금융거래에서사용자인증에사용되는수단은여러가지가있는데현재가장많이쓰이는인증수단으로아이디와비밀번호가있다. 사용자는자신만알고있는비밀번호를인터넷뱅킹서비스접속시입력함으로써사용자자신이정당한본인임을인증받는것이다. 이와같이비밀번호한가지요소만이용한사용자인증을단일요소인증 (Single-Factor Authentication) 이라고하며이때사용된비밀번호는단일요소인증수단이된다. 이중요소인증 (Two-Factor Authentication) 은두개이상의인증수단을이용하여사용자인증을하는것이다. 사용자만알고있는비밀번호이외에사용자가가지고있는매체나사용자의고유한생체정보를결합시켜사용자인증시사용할수있으며, 스마트카드와 PIN(Personal Identification Number) 비밀번호의사용, 비밀번호와공인인증서의사용등을예로들수있다. 한개의인증수단만사용하는단일요소인증에비하여두개이상또는여러개의인증수단을사용하는이중요소인증, 다중요소인증 (Multi-Factor Authentication) 의보안성이높은것은당연하다. 따라서최근전자금융거래에서이중요소인증을도입하여사용자인증을강화하는추세이다. 보안카드나공인인증서이외에 OTP를이용하는것도이중요소인증을이용한사용자인증의한방법이다. 금융감독원은여기에사용자가어떤인증수단을이용하느냐에따라보안등급을다르게정하여거래금액에차등을둠으로써인증수단의보안결함에따른전자금융사고의피해를최소화하도록하였다. 표9에서와같이전자금융거래시이용자가 OTP를사용하거나보안카드와 HSM(Hardware Security Module) 7) 방식의공인인증서를동시사용할경우가장확실한사용자인증수단을사용한것으로간주되어사용자는인터넷뱅킹서비스를통하여 1등급거래한도인 5억원까지거래가가능하다. 그러나이용자가보안카드만사용할경우사용자인증수단의보안성이낮은것으로간주되어 5천만원까지만거래가가능하다. 7) 스마트카드, USB 저장장치등이있다. 8) 연방준비제도이사회 (FRB), 연방예금보험공사 (FDIC), 통화감독청 (OCC), 저축은행감독청 (OTS), 전국신용협동조합감독청 (NCUA) 으로구성된협의체로금융기관감독의통일성, 효율성향상을위한제안권고기능을가지고있다. 2006. 4 79
< 표 9> 보안등급별인증수단및거래한도 보안등급 인증수단 ( 단위 : 천만원 ) 1회거래한도인터넷뱅킹텔레뱅킹 1 등급 - OTP 또는공인인증서 (HSM 방식 )+ 보안카드 10(50) 주 ) 5(25) 2 등급 - 보안카드 + 휴대폰거래내역통보 (SMS) 5(25) 2(10) 3 등급 - 보안카드 1(5) 1(5) 주 ) ( ) 는 1 일거래한도임 80 전자금융거래시이중요소인증의강화는해외에서도적극추진중이다. 미국은연방금융기관검사위원회 (FFIEC; Federal Financial Institutions Examination Council) 8) 가작성하여은행에배포한지침서 9) 를통해은행에이중요소인증을도입하도록권고하였다. 연방금융기관검사위원회는아이디와비밀번호만사용하는단일요소인증은인터넷뱅킹서비스와같은리스크가높은거래에서는부적합하기때문에은행이 OTP나생체인식등을추가하여사용자인증을강화할수있는이중요소인증을 2006년말까지적용하도록하였다 10). 호주는호주은행연합회를중심으로 2004년부터태스크포스팀을구성하고인터넷상에서의사용자인증을강화하기위한방안을준비하고있는데그중하나가이중요소인증의도입이다. 호주은행들은이중요소인증수단으로생체인식을채택할예정이었으나호주민들을대상으로설문조사를실시한결과, 아직은대다수의국민이생체인식을개인프라이버시침해로여기고있고생체정보를인식할수있는리더기등추가장비가필요하다는점에서오히려사용의편리함이반감될수있다는반대여론에의해은행이자율적으로선택하도록하였다. 따라서호주은행들은대부분휴대폰 SMS나 OTP를이중요소인증수단으로선택할것으로알려졌다 11). 싱가포르에서도이중요소인증강화를위한정책이진행되고있다. 싱가포르통화감독청 (MAS; Monetary Authority of Singapore) 은 2003년부터인터넷뱅킹서비스의기술리스크관리지침서 (Internet Banking Technology Risk Management Guidelines) 를통해은행이인터넷뱅킹서비스제공시사용자인증수단으로 OTP, 질의응답방식의보안토큰, 공인인증서, 스마트카드, 생체인식등과같은이중요소인증수단을적용하도록권고하고있다. 이에따라싱가포르은행들은 2006년말까지는인터넷뱅 9) Authentication in an Internet Banking Environment, FFIEC, 2005.12 10) 이외에은행이인터넷뱅킹서비스제공시이용자가주로사용하는 IP 주소나컴퓨터가위치하고있는장소까지파악하여사용자인증을할수있는위치기반기술도도입하도록권고하고있다. 11) Australian Bankers' Association media release, 2004. 7 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 킹서비스에이중요소인증을도입할예정이다 12). 홍콩은 2004년말기준으로 270만개의개인계좌와 10만개가넘는기업계좌가인터넷뱅킹서비스에등록되어있는데, 2004년 6월부터홍콩금융관리국 (HKMA; Hong Kong Monetary Authority) 을중심으로은행의리스크가높은소매인터넷뱅킹서비스에 OTP나공인인증서를활용한이중요소인증을 2005년 6월부터도입하여이용하고있다 13). 중국은 2007년쯤전체인구의약 26% 정도인 5천 3백만명이전자금융서비스를이용할것이예상되면서전자금융거래의보안을강화할수있는대책을마련하고있다. 따라서중국인민은행이 2005년 10월에작성하여배포한전자지급지침에의해중국은행들은인터넷뱅킹서비스제공시공인인증서나전자서명과같은이중요소인증방식을도입하여야한다 14). 국가별이중요소인증도입현황을정리하면다음과같다 ( 표10 참조 ). < 표 10> 국가별이중요소인증도입현황 국가명 이중요소인증수단 적용시기 한국 - OTP - 2006.12 미국 - OTP, 생체인식, 위치기반 - 2006.12 호주 - OTP, 휴대폰 SMS - 도입논의진행중 싱가포르 - OTP, 공인인증서 - 2006.12 홍콩 - OTP, 공인인증서 - 2005. 6 중국 - 공인인증서, 전자서명 - 2005.10 도입지침배포 2. 기존인증수단의보완 은행은이중요소인증수단인 OTP 도입과함께이미사용중인인증수단을보완하여사용자인증을강화하여야한다. 대표적으로보안카드를들수있는데, 35개정도의비밀번호가기재되어있는보안카드의비밀번호를한개만입력하는방식에서두개의비밀번호를조합하여 < 그림 1> 보안카드입력방식 09번째보안카드번호앞 2자리 27번째보안카드번호뒤 2자리 를직접입력하시기바랍니다. 09번째보안카드번호앞 2자리 71 27번째보안카드번호뒤 2자리 78 자료 : 우리은행 12) Two-Factor Authentication for Internet Banking, Circular No. SRD TR 02/2005, MAS, 2005.11 13) Launch of Two-factor Authentication for Internet Banking, HKMA, 2005. 5 14) ZDNet Korea 뉴스, 2005.11. 8 2006. 4 81
새로운비밀번호로입력함으로써유효비밀번호개수를늘려사용자인증을강화하는것이다 ( 그림1 참조 ). 이방법은은행에추가비용부담이적어적용이용이하고사용자가이용하는데별어려움이없기때문에 OTP가도입되기전까지유용한사용자인증수단이될수있을것으로보인다. 또한보안카드는공인인증서를발급 < 그림2> 공인인증서 ( 재 ) 발급시보안카드입력받거나재발급받을경우에도사용자인증을강화하기위한수단으로이용된다. 공인인증서는최초발급시공인인증서를받고자하는은행에서직접대면에의한사용자인증을하게되지만재발급의경우에는은행의대면확인없이인터넷상에서이루어지기때문에이를악용하는사고가발생하기자료 : 신한은행도하였다. 따라서은행은공인인증서 ( 재 ) 발급시에도보안카드에기재되어있는비밀번호이외에보안카드자체일련번호까지입력하는방법을도입하여사용자인증을강화하고있다 ( 그림2 참조 ). 3. 이용자정보보호강화 비밀번호유출에따른전자금융사고를방지하기위하여현재서비스별로개별운영되어온은행의계좌비밀번호의오류횟수가통합관리된다. 예를들어인터넷뱅킹, 텔레뱅킹등전자금융거래에서 3회이상계좌비밀번호오류가날경우조회는물론계좌이체, 납부거래등이모두정지되는것이다 15). 은행에따라비밀번호오류횟수를통합관리하는서비스대상에차이가있지만인터넷뱅킹, 텔레뱅킹이외에모바일뱅킹, ATM, PG 등창구서비스를제외한대부분의전자금융서비스가포함될것으로예상된다. 또한계좌번호와계좌비밀번호만알면이용이가능한인터넷빠른조회서비스가폐지되어이용자정보의유출가능성을최대한차단함으로써전자금융사고를예방할수있을것으로보인다. 은행은최근위와같은보안강화방안등을적용하기시작하였는데이를정리하면표11과같다. 15) 계좌비밀번호오류통합관리에따라전자금융거래가정지된이용자가다시전자금융거래를하기위해서는해당은행의영업점에서본인이직접비밀번호오류해제를신청하여야한다. 82 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 < 표 11> 은행별전자금융거래보안강화방안적용현황 은행명 주요내용 적용시기 하나은행 - 텔레뱅킹서비스전용지정전화번호등록제도 최대4개까지등록단, 공중전화, 국제전화, 발신자번호가표시되지않는전화, 사설교환기를사용하는일부사무실전화는등록불가 2005.10 국민은행 - 전자금융서비스별보안카드오류횟수통합관리 인터넷뱅킹서비스, 텔레뱅킹서비스, 모바일뱅킹서비스이용제한오류횟수 : 3회 2005.10 조흥은행 - 보안계좌발급서비스 2006. 2 - SMS 승인서비스 외환은행 인터넷뱅킹서비스이체거래시예금주본인이휴대폰으로승인을해야만 2006. 2 이체거래완료 기업은행 - 계좌비밀번호오류횟수통합서비스 2006. 3 우리은행 - 인터넷뱅킹서비스보안카드비밀번호입력방식변경 2006. 4 주 ) 각은행홈페이지및보도자료 Ⅳ. OTP 이용현황 1. 개념및도입배경 OTP는문자그대로일회용비밀번호로한번사용된 OTP는다시사용할수없으며같은비밀번호가생성되지않는인증수단이다. 비밀번호는사용이편리한데다아직까지은행과이용자모두에게확실한인증수단으로인식되어왔다. 그러나가장보안성이낮으며위험에쉽게노출되는불안전한인증수단이바로비밀번호이다. 사용자에의해한번정해진비밀번호는사용자본인의변경의사가없는한영구적으로이용되는정적인 (Static) 인증수단이기때문이다. 일반적으로사용자는기억하기쉽고추측하기쉬운단어나숫자를비밀번호로사용하려고한다. 따라서정적인비밀번호는잊어버리면사용이불가능하고외부에노출되면타인에의해악용될소지가높은불안한인증수단이되는것이다. 실제최근발생되고있는개인정보유출에의한전자금융사고도대부분이비밀번호의유출에따른것이다. 2006. 4 83
OTP는정적인비밀번호사용에따른불안감을해소하고개인정보유출에따른사용자인증을강화하기위하여도입되었다. OTP는해외은행의전자금융서비스제공초기인 1980년대부터사용된개념으로국내에서는인터넷뱅킹서비스가제공되기시작한 1990년대말부터일부은행에서기업고객이나 VIP 고객을대상으로사용되고있다. 최근에는전자금융거래의보안을강화할수있는사용자인증수단의하나로 OTP가채택되면서개인고객까지 OTP가적용될예정이다. 2. 특성 가. 이중요소인증수단 OTP는이중요소인증수단의하나이다. OTP를사용하기위해서는 OTP 생성매체가있어야하는데전자금융서비스이용자는본인이가지고있는 OTP 생성매체 ( 첫번째인증요소 ) 에의하여생성된비밀번호 ( 두번째인증요소 ) 로사용자인증을받기때문이다. 따라서이중요소인증수단인 OTP는정적인비밀번호와같이한가지요소만으로인증받는단일요소인증에비해높은수준의보안을유지할수있다. 나. 동적비밀번호 OTP는한번만만들어놓고계속사용할수있는정적인비밀번호가아니라 OTP 생성매체에의하여필요한시점에발생되고매번다른번호로생성되는동적인 (Dynamic) 비밀번호이다. 정적인비밀번호가추측이쉽고반복적으로사용됨에따라보안성이매우낮은반면, 동적비밀번호인 OTP는한번생성되어사용되면다시사용할수없기때문에 OTP가중간에해킹을당하더라도쓸모가없어보안성이높다. 정적인비밀번호에는스마트카드에서사용되는 PIN 비밀번호도있다. PIN 비밀번호는네트워크상에서전송되지않고스마트카드와리더기사이에서만전송되기때문에일반비밀번호에비해상대적으로안전한인증수단이다. 그러나한번정해진 PIN 비밀번호도사용자가변경하지않는한계속사용할수있다는점에서정적인비밀번호이기는마찬가지이다. 또한 PIN 비밀번호는읽을수있는전용 H/W가필요하기때문에호환성이낮다는단점이있다. 이에비하여 OTP는계속변화되는비밀번호로보안성이높은반면, 생성방식에따라사용자나은행이 OTP 생성에관련된어플리케이션을관리해야하는부담이있을수있 84 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 다 ( 표12 참조 ). OTP는전자금융거래에서정적인비밀번호와같이사용되거나단독으로사용되기도한다. < 표 12> 비밀번호비교 구 분 비밀번호 PIN 비밀번호 OTP 특 성 - 정적 - 정적 - 동적 재사용 - 가능 - 가능 - 불가 (1회사용 ) 추측가능성 - 있음 - 있음 - 없음 인증요소 - 사용자가알고있는정보 - 사용자가알고있는정보 - 사용자가가지고있는 매체와알고있는정보 장 점 - 모든시스템에적용가능 - 유출가능성이비밀번호보다상대적으로낮음 - 보안성이높음 단 점 - 도용및유출가능성높음 - 호환성낮음 - OTP 생성방식에따라사용자의관리부담이있을수있음 다. OTP 생성매체필요 OTP는사용자가알고있는정보를이용하여생성되고기억속에저장되는일반적인비밀번호와다르게별도매체를통해생성되며저장되지않는다. OTP 생성매체는 OTP를생성할수있는기능을가진장치 (Device) 를말하며흔히 OTP 토큰 (Token) 이라고도한다. OTP 생성매체는 OTP 생성기능만가진전용의물리적인장치뿐만아니라사용자가이미가지고있는다른매체에 OTP 생성기능을적용하여이용할수도있으며자세한내용은다음절에서다루기로한다. 3. 생성방식 OTP는사용자가가지고있는 OTP 생성매체 ( 클라이언트 ) 와은행의 OTP 인증서버사이에미리정해진규칙에따라 OTP 생성매체에서생성되며보통 6자리의숫자로이루어져있다. 사용자가 OTP 생성매체에서생성된숫자를은행에전송하면 OTP 인증서버가자체생성한숫자와비교하여인증이수행되는방식이다. OTP 생성방식에는 OTP 생성매체와 OTP 인증서버의동기화여부에따라비동기화 (Asynchronous) 방식과동기화 (Synchronous) 방식으로구분된다. 2006. 4 85
가. 비동기화방식 비동기화방식은사용자의 OTP 생성매체와은행의 OTP 인증서버사이에동기화되는기준값이없으며사용자가직접임의의난수 ( 질의값 ) 를 OTP 생성매체에입력함으로써 OTP가생성되는방식이다. 질의응답 (Challenge-Response) 에의한 OTP 생성이대표적인비동기화방식이다. 질의응답방식에서 OTP는사용자가은행의 OTP 인증서버로부터받은질의값 (Challenge) 을 OTP 생성매체에직접입력하면응답값 (Response) 이생성된다 ( 그림3 참조 ). 사용자는생성된응답값을인터넷뱅킹서비스화면에입력하여로그인을하거나이체거래시사용하면된다. < 그림 3> 질의응답방식 [ 은행 ] 사용자 1 아이디 / 비밀번호 1 로그인 2 질의값전송 2 질의값전송 4 응답값전송 인증서버 4 응답값입력 인터넷뱅킹 5 응답값비교 3 질의값입력응답값생성 6 사용자인증 질의응답방식은사용자가직접 OTP 생성매체에질의값을입력하여야응답값인 OTP 가생성되기때문에전자금융사고발생시명백한책임소재를가릴수있고보안성도높아은행이 OTP 도입초기에주로사용하던방식이다. 그러나사용자가직접질의값을확인하여 OTP 생성매체에입력하여야하는번거로움과은행이질의값을별도관리하여야하는부담이있어현재은행에서질의응답방식은많이이용되지않는추세이다. 나. 동기화방식 동기화방식은사용자의 OTP 생성매체와은행의 OTP 인증서버사이에동기화된기준값에따라 OTP가생성되는방식이다 ( 그림4 참조 ). 동기화된기준값에따라시간동기 86 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 화 (Time-Synchronous) 방식과이벤트동기화 (Event-Synchronous) 방식으로구분된다. < 그림 4> 동기화방식 [ 은행 ] 사용자 1 아이디 / 비밀번호 1 로그인 3 응답값전송 3 응답값입력 인터넷뱅킹 인증서버 4 응답값비교 2 응답값생성 5 사용자인증 시간동기화방식은 OTP 생성매체가매시간 16) 마다비밀번호를자동으로생성하는형태로시간을기준값으로하여 OTP 생성매체와 OTP 인증서버가동기화되어있기때문에사용자가별도의질의값을입력할필요가없다. 사용자는 OTP 생성매체에서자동생성된 OTP를전자금융거래시사용하면된다. 질의응답방식은 OTP 인증서버로부터질의값을받아야만응답값을생성할수있지만시간동기화방식은 OTP 생성매체자체에서시간을입력값으로사용하기때문에사용자입장에서는사용이간편하다는장점이있다. 그러나 OTP 생성매체와인증서버간에시간이동기화되어있어야하고사용자가일정시간동안은행에 OTP를전송하지못하면다시새로운 OTP가생성될때까지기다렸다가입력하여야하는단점이있다. 이벤트동기화방식의 OTP는생성매체와인증서버의동기화된인증횟수 (Counter) 를기준값으로이용하여생성된다. 이벤트동기화방식은 OTP 생성매체와인증서버간시간이맞지않을경우수동으로시간을맞춰야하는시간동기화방식의단점을보완하기위하여도입되었다. 이방식은 OTP 생성매체에서생성된비밀번호횟수와인증서버가생성한비밀번호의횟수가자동으로동기화되기때문에시간동기화방식과같이시간정보를수동으로동기화해야하는불편이덜하다 17). 16) 보통 1 분단위로생성되며기관마다다를수있다. 17) 사용자의실수나호기심등으로 OTP 가생성되어 OTP 생성매체와인증서버의횟수가서로다른경우인증서버에서횟수의오차허용범위를정하여범위내에들어올경우에사용자인증을허용하기도한다. 2006. 4 87
OTP 생성방식은각각장단점이있기때문에어떤특정방식하나만사용되거나두가지방식이결합되어사용되기도한다 ( 표13 참조 ). 최근에는은행에서질의응답방식보다시간동기화방식이나이벤트동기화방식이주로이용되는추세이다. < 표 13> OTP 생성방식비교 구분비동기화방식동기화방식 종류 - 질의응답방식 - 시간동기화방식 - 이벤트동기화방식 OTP 생성시입력값 - 은행에서전달받은질의값 ( 임의의난수 ) - 사용자가직접입력 - 시간 - 자동내장 - 인증횟수 - 자동내장 장 점 - 구조가비교적간단함 - OTP 생성매체와인증서버간동기화가필요없음 - 질의값입력이없어질의응답방식에비해사용이간편함 - 질의응답방식에비해호환성이높음 - 질의값입력이없어질의응답방식에비해사용이간편함 - 시간동기화방식에비해동기화되는기준값을수동으로조작할필요가적어사용이간편함 - 질의응답방식에비해호환성이높음 단 점 - 사용자가질의값을직접입력해야하므로사용이번거로움 - 은행은같은질의값이생성되지않도록인증서버관리필요 - OTP 생성매체와인증서버의시간정보가동기화되어있어야함 - 일정시간이상인증을받지못하면새로운비밀번호가생성될때까지기다려야함 - OTP 생성매체와인증서버의인증횟수가동기화되어있어야함 4. 생성매체 OTP를이용하기위해서는사용자가실제 OTP를생성할수있는매체 ( 이하 "OTP 토큰 " 이라고한다 ) 를별도소지하여야하는데전용 OTP 토큰이외에휴대폰에 OTP 생성기능이탑재되어 OTP를생성할수있는휴대폰 OTP 토큰도있으며최근에는금융IC카드를 OTP 토큰으로활용하는방안도제시되고있다. 88 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 가. 전용 OTP 토큰 전용 OTP 토큰은 OTP를자체생성할수있는연산기능, 암호기능등을내장하고있는별도의전용매체로서그림5와같이호출기모양, 포켓용계산기모양, 열쇠고리모양, USB 모양등으로다양하게디자인되어있다. OTP 생성기능만지닌전용토큰이기때문에별도의추가장비가필요없고시스템적용이용이하여현재가장많이사용되고있다. 그러나사용자가별도로토큰을휴대하여야하고다수의은행을거래할경우은행에따라다른토큰을사용하여야한다는점에서사용자의불편이예상된다. 또한토큰구입비용에대한부담도무시할수없어최근에는일상생활에서많이쓰이고있는휴대폰이나금융IC카드를 OTP 토큰으로이용하는데대한관심이높아지고있다. < 그림 5> 전용 OTP 토큰 나. OTP 생성기능이탑재된기존매체 전용 OTP 토큰은동적인비밀번호만전용으로생성할수있다는보안상큰장점에도불구하고사용자가토큰을별도구입하여휴대하여야한다는점에서쉽게대중화되지못하는요인이되고있다. 따라서사용자의휴대간편성을높이고전용토큰을별도구입하는데따른비용부담을줄이기위하여항상주머니에가지고다니는휴대폰이나금융IC 카드를 OTP 토큰으로활용하는방안이제시되고있다. 휴대폰 OTP 토큰은휴대폰에 OTP 생성모듈을내장시켜 OTP를생성하기때문에별도의 OTP 토큰을휴대할필요가없다는점에서편리하다는장점이있다. 농협에서도입한휴대폰을이용한 OTP 토큰이대표적인예이다. 그림6과같이사용자가휴대폰에 OTP 생성모듈을다운로드받아내장한후이용하며은행의인증서버에서제시하는질의값을휴대폰에입력하여응답값을생성하는질의응답방식으로구현되어있다. 그러나휴대폰에서생성된 OTP는인터넷뱅킹서비스에서만이용이가능하고 OTP 생 2006. 4 89
성모듈이탑재된휴대폰에서는텔레뱅킹서비스나모바일뱅킹서비스를이용할수없다는점, 그리고 OTP 생성기능이지원되는전용단말기를구입하여야한다는단점이있다. < 그림 6> 휴대폰을이용한 OTP 생성 초기화면 메뉴화면 PIN 비밀번호입력 ( 타인의도용방지 ) 은행이제시하는질의값입력 응답값생성 자료 : 인터넷시큐리티 금융IC카드를 OTP 토큰으로활용하는방안도있다. 금융IC카드는처음부터마그네틱카드의보안문제를해결하기위하여등장한카드이기때문에보안성이뛰어나고다양한어플리케이션적용이가능한칩이내장되어있다. 따라서금융IC카드에 OTP 생성기능을탑재하여 OTP 토큰으로활용하게되면전용 OTP 토큰을구입하는데따른비용을줄일수있고별도의매체를소지할필요가없다는장점이있다. 장기적인측면에서볼때금융IC카드를 OTP 토큰으로활용하는것은은행의중복투자를피하고사용자의휴대간편성을높힐수있다는점에서상당히고려해볼가치가있다. 현재은행은금융감독원의지침에따라전자금융거래의보안강화방안의하나로 2008년까지마그네틱카드를금융IC카드로전환발급중이다. 따라서현재발급중인금융IC카드이외에 OTP 생성기능만가진별개의전용토큰을또도입하는것은은행에추가부담이될수밖에없다. 비록금융감독원에서은행의 OTP 토큰구입비용은사용자부담을원칙으로하도록하였지만실제로은행이사용자에게구입비용전액을전가시키기는어려울것으로보이며, 경우에따라은행이일정금액을부담할가능성이높다. 그러나현재발급중인금융IC카드에 OTP 생성기능을탑재하여배포하는것은어렵지않기때문에전용 OTP 토큰을구입하는것보다오히려비용부담이적어진다. 또한 OTP 토큰의활용성측면을보면단순히 OTP 생성만을위해가지고다녀야하는전용토큰과다르게금융IC카드는결제기능이외에공인인증서의저장매체로도활용될수있는다기능카드이기때문에항상지갑속에가지고다니는금융IC카드에 OTP 생성기능을탑재하여이용하게되면매체의활용성측면에서도더효율적이라고할수있다. 90 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 < 그림7> IC카드와리더기 다만금융IC카드를인터넷상에서사용하기위해서는카드정보를전달해주는리더기가필요하다 ( 그림 7 참조 ). 따라서사용자입장에서는리더기를구입해야하는부담이있지만이리더기는금융IC카드에 OTP 생성기능이탑재된것과상관없이금융IC카드자체의결제기능을위해서도기본적으로필요한장비이기때문에오히려리더기의사용빈도를더높이는효과가있다. 또한리더기는카드와컴퓨터간단순인터페이스기능만담당하는어느정도표준화된장비이므로여러은행에서발급받은금융IC카드를사용하더라도 한개의리더기만으로이용이가능하다는점도각은행별로여러개의전용토큰을구입 하여야한다는점에비해상당히경제적이다. OTP 생성기능이탑재된금융IC카드의이용방법도간단하다. 예를들어인터넷뱅킹 서비스이용중에 OTP를입력하라는지시를받은이용자가리더기에금융IC카드를삽입 하고인터넷뱅킹서비스화면에구현된 OTP 생성버튼을누르면카드에서 OTP가자동 생성된다. 그리고생성된 OTP가리더기를통해전달되어인터넷뱅킹서비스화면의특정 한위치에나타나면그숫자를 OTP 입력화면에입력하면된다. OTP 생성모듈이탑재된금융IC카드칩을휴대폰에끼워서이용하는방법도있다. 앞 서설명한리더기의역할을휴대폰이대신하는것이다. 그러나 OTP 생성전용휴대폰을 별도구입하여야한다는점과휴대폰에 OTP 생성칩을갈아끼워야하는불편이예상되 고하나의칩에통신기능, 결제기능, OTP 생성기능이동시에탑재될경우칩의소유권 등에대한문제가복잡하게얽히게되어 18) 칩기반휴대폰 OTP 토큰은구체적인실용단 계로이어지는데다소시간이걸릴것으로예상된다. 다. 기타 금융IC카드를 OTP 토큰으로사용할경우여러장점에도불구하고리더기가필요하다는점은제약이될수밖에없다. 그러나리더기가필요없는 IC카드형 OTP 토큰도있다. 최근비자카드사가 OTP 생성매체로발급할예정인디스플레이형 OTP 생성카드를들수있다. 18) 칩기반모바일뱅킹에서통합칩에대한논의가이동통신사와은행간의이해관계때문에진전되지못하는이유와유사하다. 2006. 4 91
디스플레이형 OTP 생성카드는일반 IC카드앞면에디스플레이창이있으며카드뒷면에는 OTP 생성버튼이부착되어있다 ( 그림8 참조 ). IC카드내에는 OTP 생성모듈이내장되어있기때문에사용자가필요할때마다버튼을누르면 OTP가자동생성되며, 카드앞면의디스플레이창에 OTP가표시된다. 인터넷뱅킹서비스에서디스플레이형 OTP 생성카드의이용방법을보면그림9와같이이용자가은행사이트에로그온을한후화면에나타난지시대로카드의버튼을눌러카드앞면의디스플레이창에나타난 OTP를인터넷화면에입력하면된다. < 그림 8> 디스플레이형 OTP 생성카드 [ 앞면 ] [ 뒷면 ] < 그림 9> 디스플레이형 OTP 생성카드이용방법 1 2 로그인클릭 OTP 생성버튼누름 인증클릭 생성된 OTP 를화면에입력 4 3 자료 : www.incardtech.com 92 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 디스플레이형 OTP 생성카드는인터넷뱅킹뿐만아니라텔레뱅킹, 모바일뱅킹등다양한전자금융서비스에서이용이가능하다는점, 별도의 OTP 토큰을구입할필요없이 IC카드를활용할수있다는점, 리더기가필요없는 OTP 토큰이라는점에서관심을끌것으로보인다. IC카드에오디오기술이접목되어카드에서발생되는소리를 OTP로이용할수있는오디오형 OTP 생성카드도있다. 오디오형 OTP 생성카드는 IC카드에 OTP 생성모듈, 배터리, 버튼, 스피커를내장시켜사용자가버튼을누르면특정소리가생성되고그생성된소리가 OTP로사용되는원리이다. 오디오형 OTP 생성카드에서나오는소리는누를때마다계속변화하기때문에누군가에의해소리가녹음되거나나중에사용될가능성이없으며, 별도의리더기가필요없고단지마이크장치만있으면이용이가능하다는장점이있다. 오디오형 OTP 생성카드의내부구조와인터넷뱅킹서비스에서사용되는예는그림10과같다. 비자카드사는이와같이리더기가필요없는디스플레이형 OTP 생성카드와오디오형 OTP 생성카드를 2006년중시범발급할예정이다. < 그림 10> 오디오형 OTP 생성카드내부구조및이용방법 1 거래은행의인터넷뱅킹서비스사이트에접속한후카드버튼을눌러일회용소리생성 2 인증이완료되면화면에카드의 PIN 비밀번호입력 3 인터넷뱅킹서비스이용 자료 : www.audiosmartcard.com 지금까지설명한 OTP 토큰의장단점을간단히정리하면표14와같다. 현재금융감독원에서는전용 OTP 토큰을중심으로 OTP 도입을추진중이며다른매체의활용은고려하지않고있다고한다. 그러나 OTP 도입에따른사용자의부담이나휴대간편성등이반드시고려되어야할사항임을감안한다면전용 OTP 토큰만고집할필요는없을것으로보인다. 2006. 4 93
< 표 14> OTP 생성매체별비교 구분전용 OTP 토큰기존매체활용기타 - 전용토큰 - 금융IC카드, 휴대폰 - 디스플레이형 IC카드 - 오디오형 IC카드 종 류 장 점 - 리더기불필요 - 휴대하기편리 - 기존매체활용으로경제적 - 휴대하기편리 - 리더기불필요 단 점 - 별도매체소지에따른불편 - 은행별개별소지에따른불편 - 리더기필요 ( 금융IC카드 ) - 고비용 5. 도입현황 금융감독원의전자금융거래보안강화방안에따르면은행은 2006년말까지 OTP를개인이용자에게도확대적용하여야한다. 그러나현재국내은행의도입현황을보면주로기업인터넷뱅킹서비스고객이나 VIP 고객에한정되어있다. 개인이용자를대상으로 OTP를의무도입한은행은 HSBC 서울지점이있으며일부시중은행은선택사항으로 OTP를도입하였다 ( 표15 참조 ). < 표 15> 국내은행별인터넷뱅킹서비스 OTP 도입현황 은행명 매 체 적용대상 비 고 경남은행 전용 OTP 토큰 기업선택 - 우리은행 전용 OTP 토큰 기업의무, 개인선택 - 농협 전용 OTP 토큰 기업및개인선택 - 휴대폰 OTP 토큰도이용 신한은행 전용 OTP 토큰 기업의무, 개인선택 - 국민은행 전용 OTP 토큰 선택 - 텔레뱅킹서비스만실시 HSBC 서울지점 전용 OTP 토큰 기업및개인의무 - 94 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 금융감독원의지침이반드시 OTP를이용하여야만전자금융거래가가능해지는것이아니라단지전자금융거래시거래금액의한도에서차이가날뿐이기때문에은행으로서는반드시올해안에 OTP를도입해야할시급성이떨어지고현재 OTP 통합인증과관련된문제가논의중이기때문에대부분의은행이그결과에따라 OTP 도입을추진할예정이어서 OTP 도입이다소늦어지고있다. 미국의은행별 OTP 도입도주로기업인터넷뱅킹서비스고객을대상으로우선적용되고있어국내와별차이가없지만국내와다르게, 보안카드나공인인증서같은대체이중요소인증수단이없기때문에앞으로 OTP 도입은증가할것으로보인다 ( 표16 참조 ). < 표 16> 미국은행별인터넷뱅킹서비스 OTP 도입현황 은행명 매 체 적용대상 비 고 E-Trade Bank 전용 OTP 토큰 기업및개인 - Stonebridge Bank 전용 OTP 토큰 기업 - American Bank 전용 OTP 토큰 기업및개인 - 은행내부직원도도입 Bank of America 전용 OTP 토큰 기업 - 은행내부직원도도입 Sovereign Bank 전용 OTP 토큰 기업 - ABN AMRO 전용 OTP 토큰 기업 - Commerce Bank 전용 OTP 토큰 기업 - Wachovia 전용 OTP 토큰 기업및개인 - Dollar Bank 전용 OTP 토큰 기업 - 자료 : FDIC, 2005. 6 및 American Banker.ONLINE, 2005. 6 Ⅴ. 시사점 1. OTP 통합인증 은행의 OTP 도입과관련하여현재금융감독원과은행사이에 OTP 통합인증에대한논의가진행중에있다. OTP 통합인증은전자금융서비스이용자가하나의 OTP 토큰으로다수의은행과거래할수있도록은행이공동으로 OTP를인증하는것을말하며, 별도설립 19) 되는 OTP 통합인증센터 ( 이하 " 통합인증센터 " 라고한다 ) 에서운영될예정이다. 19) 금융감독원은 2006 년중신설예정인금융보안전담기구내에 OTP 통합인증센터를설치하여은행공동의 OTP 통합인증서비스를제공할방침이다. 2006. 4 95
앞서설명한바와같이 OTP는생성방식이나생성매체가다양하다. 따라서은행별로 OTP를도입하게되면사용자입장에서는거래하는은행마다각기다른매체를이용하여야하고생성방식에따라이용방법이달라지기때문에사용에불편이따를수밖에없다. 또한 OTP 토큰의구입비용부담도상당하다. OTP 통합인증은이와같이은행의 OTP 개별도입에따른사용자의부담을최소화하고은행간 OTP 사용의호환성을높혀 OTP 이용의편리성을제고하기위한취지에서추진되고있다. 그러나이와같은긍정적인취지에도불구하고 OTP 통합인증과통합인증센터설립의실효성에대한논란이제기되고있다. 첫째, OTP 토큰의도입비용부담에대한문제이다. 전용 OTP 토큰의경우 2000년대초까지는구입가격이한대당약 3만원대였으나지금은 1만 5천원대에서구입이가능하다. 그러나이가격은은행이구입하여무료로배포하거나사용자가직접구입하더라도부담이되는가격이기는마찬가지이다. 따라서공동으로사용할 OTP 토큰을정하고은행이공동으로구입하여배부하면그만큼구입단가가낮아질수있을것이고사용자입장에서도거래하는은행마다여러개의 OTP 토큰을구입할필요없이한개의 OTP 토큰만구입하여사용하면부담이훨씬줄어들수있다는취지의하나로 OTP 통합인증이제기된것으로보인다. 그러나구입단가가낮아지는데에는한계가있다. 현재 1만 5천원대인구입가격이갑자기 2, 3천원대로급격히낮아지지는않을것이다. 2008년까지완료하도록되어있는은행의금융IC카드도입도 IC카드를신규발급하는데드는비용문제로여전히도입이더딘경우와유사한현상이발생될수있다는점이다. 둘째, 사용자정보의보유주체에대한문제를들수있다. 통합인증센터에서 OTP 통합인증을위해서는 OTP 사용자가해당은행의정당한고객인지아닌지를판단할수있는사용자정보가필요한데이정보를통합인증센터가보유해야하는지에대한논란이제기되고있다. 그러나은행고유의자산인사용자정보를은행이통합인증센터에제공한다는것은현실적으로어렵다 20). 이때문에통합인증센터설립을주도하고있는금융감독원과은행간에사용자정보의보유주체에대한이견이많아통합인증센터의설립진행이늦어지고있다. 만약통합인증센터가사용자정보를보유하지않고 OTP 통합인증을수행할경우통합인증센터는사용자와은행을연결해주는단순인터페이스역할에한정될가능성이높다 ( 그림11 참조 ). 20) 칩기반모바일뱅킹서비스에서이동통신사의통합 IC 칩발급에대하여은행은사용자정보의노출위험을이유로반대한점을생각하면쉽게이해가될것이다. 96 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 < 그림 11> 사용자정보보유주체에따른 OTP 인증 [ 통합인증센터보유 ] [ 개별은행보유 ] 2 인증수행 통합인증센터 3 인증완료시연결 은행 통합인증센터 2 연결 은행 3 인증수행 인증서버 1OTP 로접속 사용자 4 인터넷뱅킹서비스제공및이용 1OTP 로접속 사용자 4 인터넷뱅킹서비스제공및이용 인증서버 셋째, 통합인증센터에장애가발생될경우모든은행의 OTP 인증이중단되기때문에개별은행에서 OTP를인증할경우에비해리스크가더커질수있다는점이다. 책임소재에대한문제도간과해서는안된다. 만약 OTP를이용한전자금융거래에서사고가날경우 OTP 토큰을최초배포한은행과실제전자금융거래가일어난은행이다르면어디에서문제가발생되었는지를확인하기가상당히어렵기때문이다. 이와함께통합인증센터설립과운영에따른은행의비용부담도무시할수없다. 따라서이와같은논란에대한명확한해결책이없이는 OTP 통합인증과통합인증센터의필요성에대한원론적인의문에서부터다시시작되어야할것이다. 2. OTP 도입시고려사항 OTP가원래의의도대로전자금융거래의보안을강화하고활성화된사용자인증수단이되기위해서는다음과같은사항을고려하여도입되어야할것이다. 첫째, 보안성이제일먼저고려되어야한다. OTP는기본적으로전자금융거래의보안을강화하기위한인증수단으로도입되었기때문에보안성이뛰어난매체와방식을선택하는것이최우선기준이되는것은당연한것이다. 둘째, 사용편리성과휴대간편성을들수있다. 최근보안솔루션업체에서실시한설문조사 21) 내용을보면응답자의 73% 인대다수가인터넷뱅킹서비스이용시아이디나비밀번호를사용하여로그온하는사용자인증보다더강력한인증수단을도입할필요성이있으며, 도입되는강력한인증수단은사용의편리성과용이성을보장할수있어야한다고응답하였다 22). 사용자의주머니속에기본적으로소지하고있는카드와휴대폰이외에 21) Annual Financial Institution Consumer Online Fraud Survey 22) RSA Security, Press Release, 2006. 3.14 2006. 4 97
또다른매체가있어야한다든지, 사용하는데복잡한절차가필요하다면사용자입장에서는선뜻받아들이기쉽지않다는의미이다. 그리고어떤 OTP 생성방식은사용자가직접입력값을입력하는추가단계를요구하기도하고새로운 OTP를얻기위해서다시 1분을기다려야하는절차는사용자의편리성을저해할수있기때문이다. 셋째, OTP 토큰간호환성을들수있다. OTP 토큰이어떤어플리케이션에서도작동될수있어야한다는점이다. 이는사용의편리성과용이성과도연관되는사항이다. 사용자가다양한전자금융서비스를이용할때마다서로다른 OTP 토큰을사용하게된다면이용하는데따른불편함은물론이고여러개의 OTP 토큰을소지하는데따른분실위험이나불편함은커질것이다. 또한호환성의문제는당연히비용문제와도연관되기때문에반드시고려되어야할사항이다. 넷째, 비용측면이고려되어야한다. OTP를도입하게되면은행으로서는 OTP 토큰의파손이나도난등에따른재구입비용, 동기화방식을이용할경우에는재동기화비용, 유지보수비용까지발생될수도있기때문에이러한관리상의문제로발생되는비용도고려되어야한다. 3. 양방향인증의필요성대두 최근전자금융거래의보안강화를위해강조되고있는이중요소인증은은행의사용자인증에초점을두고있다. 그러나피싱이나파밍위협의증가로사용자입장에서도은행이제공하는사이트가진짜인지를확인할수있는양방향인증 (Two-Way Authentication) 이이루어져야보다안전한전자금융거래가가능하다는의견이전개되고있다. 양방향인증은사용자만은행의인증을받는것이아니라은행사이트도사용자에게인증을받아야한다는개념이다. 양방향인증에서는주로사용자만알고있는비밀이미지가인증수단으로이용된다. 양방향인증을원하는사용자는먼저은행사이트에접속하여양방향인증에사용될비밀이미지를선택하여은행에등록하면된다. 따라서양방향인증을이용하는사용자는은행사이트에접속할때아이디와비밀번호를동시에입력하지않고먼저아이디만입력하여사용자의이용의사표시를한다음은행에서보내주는비밀이미지가사용자만알고있는비밀이미지와같을경우에만비밀번호를입력하여접속을완료하는것이다 ( 그림12 참조 ). 사용자는양방향인증을사용함으로써본인이정당한사이트에접속했다는것을인식하게되는것이다. 양방향인증은현재 BOA(Bank Of America) 가 SiteKey라는명칭으로서비스중에있다. 98 지급결제와정보기술
전자금융거래의보안강화방안및 OTP 이용현황 < 그림 12> 양방향인증및적용화면 은행사이트 1 아이디입력 2 사용자만알고있는비밀이미지전송 3 비밀번호입력 사용자 자료 : www.passmarksecurity.com Ⅵ. 맺음말 편리하기때문에많이이용되고있는전자금융서비스에는항상보안문제가따라다닌다. 그러나은행이전자금융서비스의안전한제공을위하여보안을강화하게되면사용자는당장불편함을느낄수있다. 반면편리성만강조하다가보안사고가발생되면사용자는전자금융서비스를이용하지않으려할것이고은행도신뢰회복에많은시간이필요하게된다. 전자금융서비스에서이용의편리성과보안의중요성은동전의양면과같아서어느한쪽의입장만고려해서제공될수없다. 따라서전자금융서비스의편리성과보안성을모두만족시킬수있는안전장치를찾아야한다. 최근개인정보유출로인한전자금융사고가발생되면서사용자인증을강화할수있는안전장치가절실하게요구되고있다. 바로그안전장치의하나가 OTP이다. 아직 OTP 통합인증에대한논란은여전히남아있지만 OTP가도입되면정적인비밀번호에의한사용자인증보다 OTP를이용한사용자인증이활성화될것으로보인다. 다만 OTP가전자금융거래의보안을강화할수있는강력한인증수단이면서전자금융거래의활성화에기여할수있기위해서는 OTP 도입에따른은행과사용자의비용부담을최소화하고사용편리성을보장할수있는방향으로추진되어야할것이다. 2006. 4 99
< 참고문헌 > [1] 양지윤, 전자상거래이젠 OTP 시대, 경영과컴퓨터, 2005.11 [2] 이유지, 대한민국인터넷서비스보안비상, 컴퓨터월드, 2005.11 [3] 정윤선, 전자금융거래에서의금융기관의책임, 한국소비자보호원, 2005.12 [4] Secured Authentication using EMV Smart cards, Smart Payment Association, 2005.11 [5] Future technology to extend use : cases for OTP, Giesecke & Devrient, 2005.11 [6] Authentication in an Internet Banking Environment, FFIEC, 2005.12 [7] Putting an End to Account-Hijacking Identity Theft : Study Supplement, FDIC, 2005. 6 [8] 전자거래안전성강화종합대책, 금융감독원, 2005. 9 [9] www.securecomputing.com [10] www.kisa.or.kr [11] www.rsasecurity.com [12] www.antiphishing.org [13] www.vasco.com [14] www.emvco.com [15] 은행인터넷홈페이지 100 지급결제와정보기술