i-pin 2.0 안내 & 구축사례소개
1. 09 년도개인정보침해사고현황 2. 아이핀 (i-pin) 이란? 3. 서비스제공기관 4. 아이핀보급현황 5. 아이핀 2.0 서비스 6. 아이핀서비스적용범위 7. 아이핀서비스제공정보 8. 아이핀도입절차 9. 아이핀도입예시 10. 개인정보보관시암호화 11. 적용시유의사항
1. 09 년도개인정보침해사고현황 출처 : DATALOSS db SSN : Social Security Number FIN : Financial Information CCN : Credit Card Number ACC: Accident Compensation Corp. EMA : European Monetary Agreement DOB : Date of Birth NAA : National Aeronautic Association
2. 아이핀 (i-pin) 이란? 정의 i-pin (internet Personal Identification Number) 은대면확인이어려운인터넷상에서명의도용이 쉬운주민등록번호를대신하여신원확인을할수있는 ID/PW 방식의개인식별수단 특징 주민등록번호유출로인한개인정보침해사고를근본적으로예방 i-pin 은언제든지재발급및사용중지할수있어도용의위험이감소 이용자는아이핀인증이력을확인할수있어타인에의한도용을추적이가능 발급받은본인확인기관에상관없이국내공공, 민간모든웹사이트에서이용가능
3. 서비스제공기관 본인확인기관현황 기관명연락처발급사이트주소 행정안전부 02)3279-3480~2 www.g-pin.go.kr 한국정보인증 1577-8787 www.sgipin.com 한국신용정보 1588-2486 www.idcheck.co.kr co kr 한국신용평가정보 1600-1522 www.vno.co.kr 서울신용평가정보 02)846-5000 www.siren24.com 코리아크레딧뷰로 02)708-1000 www.ok-name.co.kr 본인확인기관관리 매년한국인터넷진흥원에서서비스안전성에대한정기점검수행
4. 아이핀보급현황 구분 06 년 07 년 08 년 09 년 12 월 31 일 사이트수 23 개 85 개 190 개 공공민간소계공공 3,368개 239개 3,607개 246,265건 발급건수 17,193 건 98,791 건 636,929 건민간 1,421,129 건 소계 1667394 1,667,394 건 민간분야미진한대표원인 사업자측면 : 웹사이트간연계서비스어려움 이용자측면 : 발급받은본인확인기관을기억
5-1. 아이핀 2.0 서비스 이용자측면 i-pin 발급및이용편의성강화 1. i-pin 발급기관자동식별 발급기관선택 기존 인증정보입력 개선 동의및확인 인증정보입력 동의및확인 발급기관을입력해야하는불편 X, 기존 3 단계인증이 2 단계로단축
5-2. 아이핀 2.0 서비스 이용자측면 i-pin 발급및이용편의성강화 2. 개인정보이용동의화면통합 기존 개선신규가입시동의화면 본인확인기관간전송동의 인터넷사이트전송동의 본인확인수단이용전송동의 이용시혼란을주는화면최소화로발급및이용편의성증대
5-3. 아이핀 2.0 서비스 이용자측면 i-pin 발급및이용편의성강화 3. 진행단계별네비게이션기능강화 기존 가입절차화면 개선노인, 어린이등의취약계층발급편의성강조 신규발급선택 동의및개인정보입력 신규발급선택 동의및개인정보입력 본인확인 발급확인 본인확인 발급확인
5-4. 아이핀 2.0 서비스 이용자측면 i-pin 발급및이용편의성강화 4. 본인확인기관간상이한발급및이용절차통일 기존 기관별인증화면 개선이용시혼란최소화
5-5. 아이핀 2.0 서비스 사업자측면 서비스적용범위확대웹사이트간동일인식별정보제공 생성방법 주민번호 HASH CI (Connection Information) 990120-3045324 kasosioiuyuw 이용방법 도입사업자 : 사업자인증 -> CI값제공 미도입사업자 : 도입사업자확인서제출 -> 방문변환 효과 마일리지등사업자간연계서비스가가능
6. 아이핀서비스적용범위 i-pin 적용서비스 회원가입 게시판 사이트간연계 컨텐츠제공 중복가입불허 중복가입허용 본인확인 ( 예시 ) 마일리지공유 성인인증
7. 아이핀서비스제공정보 제공정보 내용 활용방법 성명 신원확인수단을이용한본인확인을수행하여검증한이용자의실명 고객응대시식별방법으로이용 개인식별정보 중복가입확인정보 연계정보 생년월일 성별 연령대 내 외국인 이용자의본인확인을수행한이후에본인확인기관이이용자에게부여하는 13 자리정보 ( 발급기관정보 2 자리이외는난수값 ) 회원가입또는글쓰기권한을얻고자하는웹사이트내에서만유일하게이용자를식별할수있는 64byte 정보 불량이용자추적시활용 중복가입확인및고객식별시활용 서비스연계를위한웹사이트간공동식별자로 사이트간제휴서비스제공시고객식별 88 바이트의암호화된코드 용도로활용 신원확인수단을통한본인확인을수행하여검증한주민등록번호에서추출한 8 자리정보 (YYYYMMDD) 신원확인수단을통한본인확인을수행하여검증한주민등록번호에서추출한 1자리정보 고객서비스제공시활용 ( 예 : 생일쿠폰발송, 생일메일발송등 ) 고객마케팅활용 ( 예 : 패션 미용등정보제공 ) 신원확인수단을통한본인확인을수행하여검증한 연령대별제공가능한서비스식별에 주민등록번호에서추출한정보를분류하여제공하는 사용 ( 예 : 영화관람등급, 게임이용가능 8 단계의법적연령대 1 자리정보 연령확인등 ) 신원확인수단을통한본인확인을수행하여검증한주민등록번호 ( 또는외국인등록번호 ) 에서추출한 1 자리정보 내국인가능서비스와외국인가능서비스구분시활용 i-pin 발급시이용자가이용한신원확인 i-pin 발급시신원확인수단 i-pin 발급시신원확인수단수단 ( 예 : 카드, 휴대폰, 신원보증대리인등 )
8. 아이핀도입절차
9-1. 아이핀도입예시 ( 회원가입 ) 1 회원관리현황분석 웹사이트의회원관리현황을분석 2 DB 스키마결정 회원DB에보관할정보를테이블로정의 3 회원 DB 갱신및질의서변경질의어변경 기존이용자중복가입확인정보추가및질의어변경 4 i-pin 툴킷설치 본인확인기관이제공한 i-pin 툴킷설치 5 회원가입페이지설정 i-pin 인증후이용자정보임시보관설정 6 회원 DB 에이용자정보저장 회원가입정보및 i-pin 제공정보저장
9-1. 아이핀도입예시 ( 회원가입 ) 아이핀도입전후회원테이블예제 기존변경 순번주민등록번호성별성명인증결과 IP 주소 1 7001011234567 M 홍길동 1-2 8012312345678 F 김신용 1 - 순번요청번호본인확인정보중복가입확인값연계정보 연계정보버젼 주민등록번호성별연령대생년월일성명 위 / 변조검증메세지 1 123456111 **13********* ABF51F63O~ 8Roi6djqeoq~ 1 M 8 19731230 홍길동정상 1 2 123456112 **13********* TAC51F81F~ 7rjansdhasd~ 1 M 7 19890201 김신용정상 1 인증결과 IP 주소 3 123456113 CEL81U12T~ dsa3r15sau~ 1 7501021011234 F 3 19750102 나신영정상 1 아이핀인증시전달파라미터 항목 아이핀인증을한경우 실명확인인증을한경우 설명 요청번호본인확인정보중복가입확인정보성별연령대구분값 식별검증요청시마다유일하게생성 주민번호와매칭되는 SCI에서생성한 13자리번호 ( 성공시 : 11자리, 실패시 : FF13FFFFFFFFF) 주민번호에대한 Hash값 ( 주민번호를대신할 Key 값 / 64byte) M : 남성, F : 여성 0~8세 9~11세 12~13세 14세 15~17세 18세 19세 20세 1 2 3 4 5 6 7 8 생년월일 YYYYMMDD( 예 : 19740125) 위 / 변조검증메시지 인증결과 전송된정보의위조 / 변조여부를검증하는메시지 1 : 성공 IP IP 정보있을시 (XXX.XXX.XXX.XXX), XXX) IP 정보없을시 (null) 내 외국인구분 0 : 내국인 1: 외국인 연계정보주민번호에대한 Hash 값 ( 온 / 오프라인및타기관과의연계시 Key 값 / 88byte) 회원사요청시제공 ( 연계정보버젼제공 )
9-2. 아이핀도입예시 ( 마일리지서비스 ) 아이핀도입기관은온라인을통해변화가능 미도입기관은아이핀을도입한기관의확인서제출시오프라인을통해변환가능
9-3. 아이핀도입예시 ( 온 / 오프라인연계서비스 ) 온라인 (On-line) 연계정보 (CI) 생성모듈 오프라인 (Off-line) 아이핀도입사업자를대상으로변환모듈배포예정 (HSM 형태 )
9-4. 아이핀도입소요기간 절차대규모중소규모세부작업내역예상소요시간비고 아이핀서비스도입기획 D-7 D-2 아이핀과주민등록번호병행사용을위한기초분석진행 정책 / 기획담당자및개발담당자들간미팅및아이핀도입관련주요의사결정사항등을내부에공람 원활한기획을위한본인확인기관 PM 지원 자체사이트페이지기획 D-8 8~20 D-2~5 아이핀팝업호출디자인, 주민등록번호입력창과의배치문제등을고려하여페이지수정 사이트내부사정에따라 1주이상소요예상 회원가입고객이주민등록번호와가상주민번호중원하는인증방법을선택할수있도록화면을구성, 웹프로그램수정 기존고객중복확인키값생성및 DB 수정 D-20 ~ 30 D-6 기존주민등록번호로가입한회원에대해아이핀기관에서웹사이트고객들에대해일괄생성한 D.I 키값등을기존회원 DB column에추가 / 수정 본인확인기관에서키값일괄생성 : 1회생성에약 1~4시간소요예상기존회원들의주민등록번호를키값으로하여배치생성준비본인확인기관에서생성한중복확인키값일괄업데이트및 DB 정리 회원분류를위해주민등록번호이외의 ID 등기타키값 ( 아이디등 ) 이있을경우추가가능, 중복가입키값생성시추가가능아이핀정보 ( 중복확인키값, 생년월일 / 성별 / 내외국인정보 ) 향후저장방안등을고려하여 DB 수정 암호화모듈설치 D-30 D-6 본인확인기관에서전달하는가이드를참조하여암호화모듈설치및테스트 사이트개발환경에따라전달되는암호화모듈설치 개발가이드 별도제공, 개발팀출장점검 연동및테스트 D-31 ~ 35 D-7~10 아이핀서비스연동및테스트진행 실제아이핀팝업호출및테스트 : 1 일소요예상 주민번호인증시본인확인기관을통해실명확인과함께생성되는중복가입키값수신및 DB 업데이트확인아이핀인증시아이핀정보 ( 중복확인값, 생년월일 / 성별 / 내외국인정보 ) DB 업데이트확인 출처 : 한국신용평가정보
9-5. 대표도입사이트 -1 일정 2009 년 6 월 작업내용 - 나이스아이핀계약서초안교환 - 사이트담당자전체대상의개발설명회개최 2009 년 6 월 ~ 7 월 - 아이핀도입에따른영향분석 SKTelecom 신용보증기금 2009 년 8 월 ~ 10 월 2009 년 11 월 2006 년 11 월 - 기존주민번호회원에대한배치작업 5 ~6 차례수행 - 시스템별로배치작업분리하여진행 - 중복포함하여 2억명정도에대한배치작업수행 - 나이스아이핀모듈, 실명확인 ( 전용선방식 ) 결과값변경작업진행 - 화면 UI 디자인수정 - 11 월 28 일 22:00 전체서비스중단 ( 신규가입차단포함 ) - 11월30일 02:00 서비스적용완료및서비스정상화 - T-world, 11번가, 멜론,GXG, Tossi 등 12개관련웹사이트적용완료 - 나이스아이핀계약체결 - 기존주민등록번호회원에대한 DI 배치작업진행 - 주민등록번호일괄삭제 2006 년 12 월 - 나이스아이핀단독서비스로회원가입 / 비밀번호찾기등적용 출처 : 한국신용정보 민간부문도입대표웹사이트 - 포털 : DAUM.NET, NAVER.COM, NATE.COM - 게임 : NEXON.CO.KR, HANGAME.COM, BATTLE.NET - 전자상거래 : GMARKET.CO.KR, AUCTION.CO.KR, CJMALL.COM - 기타 : QOOK.CO.KR, INCRUIT.COM, MELON.COM
9-5. 대표도입사이트 -2 도입사개발기간개발인력이슈사항 약 1.5 개월 약 1 개월 약 3 개월 7 명 ( 기획 2명, 개발 2명, 디자인 2 명, QA 1명 ) 7 명 ( 기획 1 명, 개발 5 명, QA 1 명 ) 5 명 ( 기획 2 명, 개발 3 명 ) - 법인 ( 개인 ) 사업자회원가입시기존 DB 운영방안 - 주민번호가입자에대한전환프로세스 - 가입수단 ( 실명확인, 아이핀 ) 별서비스구분제공여부 - 내부식별키운영방안 - 오프라인가입자에대한온라인회원가입여부확인 - 가입수단 ( 실명확인, 아이핀 ) 별서비스구분제공여부 - 상품구매시결제 DB 와의연동방안 - 아이핀회원에대한본인인증적용방안 - 고객센터운영시아이핀회원의주민번호를통한신원확인방안 약 2 개월 약 1 개월 6 명 - 미성년자에대한아이핀서비스적용방안 ( 기획 3명, 개발 2명, QA 1명 ) - 채널링사업자에대해연계방안 2명 - 기존회원에대한마이그레이션방안 ( 기획 1 명, 개발 1 명 ) - 아이핀서비스적용범위 약 2 개월 4 명 ( 기획 1 명, 개발 3 명 ) - 약 4,000 만원비용소요 - 아이핀가입자에대한오프라인포인트연계방안 - 제휴사업자와의정보연계방안 출처 : 서울신용평가정보
9-6. 기존회원아이핀전환기능 - 주요프로세스 아이핀안내 전환안내아이핀인증전환 로그인
9-6. 기존회원아이핀전환기능 - 추가프로세스 ( 선택사항 ) 주민등록번호삭제및확인
9-6. 기존회원아이핀전환기능 - 예시 아이핀전환버튼구현화면 출처 : 서울신용평가정보
10. i-pin 도입, DB 보안솔루션도입예상비용 i-pin 과 DB 암호화솔루션의가격비교 > i-pin 도입시개인정보보호의무화에대한비용절감 i-pin 도입 소요시간 필요인력 ( 기획, 개발, 디자인, QA) 예상비용 대규모 31~35 일약 5~7 명 10 만원 *30 일 *5 명 = 약 1500 만원 소규모 7~10 일약 3~4 명 10 만원 *7 일 *3 명 = 약 210 만원 DB 암호화솔루션도입 A 사소프트웨어솔루션 B 사소프트웨어솔루션 C 사장비솔루션 DB 암호화비용 서버 1 대당약 5,500 만원 서버 1 대일경우약 8,000 만원 서버 1 대일경우약 1 억 5,000 만원
11-1. 적용시유의사항 회원가입페이지아이핀적용시버튼분류
11-2. 적용시유의사항 회원가입시아이핀인증정보를통한검증 아이핀인증정보와 입력받은성명정보등 비교검증
11-3. 적용후취약점점검 아이핀적용후취약성점검 > 다음항목들을점검하여개인정보노출이없도록확인 확인사항 1 회원가입웹페이지에서개인정보전송시평문전송 2 i-pin 인증우회하고회원가입페이지에 URL 로직접접근하여회원가입 3 i-pin 인증결과를회원가입페이지에평문으로전송 4 i-pin 인증결과필드 ( 이름, 가상주민번호 ) 및속성값을변조 5 이미가입된회원이나중복해서가입가능 6 Cookie 에담겨있는개인정보를변조하여회원가입에이용
감사합니다