이제 아이핀도 털렸다

정부가 줄기차게 주장해 시민들이 그나마 안전하다고 믿던 주민번호대체 수단인 '아이핀(인터넷 개인색별번호)'도 털렸다. 도미노피자 인터넷으로 주문하면 15%할인 해준다고 해서 인터넷 홈페이지 접속하니 아이핀으로 회원가입하더라. 정말 IT업계에 종사하는 사람도 당황스러웠다. 비밀번호 정하는걸 워낙 까다롭게 지정해야 하기 때문이다. 특수문자가 몇 가지 들어가야하고 10자리 이상에 너무 짜증스러웠다. 일반인들은 30분이상 걸릴지도 차라리 주민번호로 그냥 입력하고 말겠지. 그래도 믿었다. 참고 인내하며 특수문자 넣어가며 기억하기 좋은 비밀번호를 사용해서 안전하다는 아이핀을 사용해 회원가입까지 완료하고 피자를 주문한 적이 있었다. 그런데 오늘 뉴스 기사에 '아이핀도 믿을 수 없다' 뭐 이런 내용이 나오니 더욱 황당하다. 도대체 뭘 믿으라는 말인지. 인터넷 회원가입할 때마다 비밀번호를 정해야 하는데 정말 이제 수십개의 비밀번호도 기억하기 조차 어렵다. 기존에는 특수문자가 아닌 영문+숫자 조합이었는데 특수문자 괜히 넣었다가 기억못하면 비밀번호 찾가기 더 어려우니 정말 난감하다.

 

 

 

 

온라인 주민번호 대체 수단 공공 아이핀이 해킹 공격을 받았다. 75만건에 달하는 부정 아이핀이 발급됐으며 상다수는 실제로 사용되었다. 아이핀 시스템 재구축이 필요하다는 지적이다. 아이핀 도입한지 얼마나 되었다고 이렇게 허술하게 만들어놓고 재구축한다고 한다. 인터넷 본인 확인수단 아이핀 시스템이 뚫렸다. 해커가 공공 아이핀 시스템 보안 취약점을 이용해 75만건에 달하는 아이핀을 부정으로 발급했다는 사실이 확인되었다. 실생활에서 주인 없는 가짜 주민번호가 75만건이 생성된 것과 같은 결과다. 행자부는 부정 발급되어 생성된 75만건을 긴급 삭제했지만 땅에 떨어진 신뢰도는 회복하기 어려울 전망이다. 특히 이 사건으로 공공기관의 안일한 정보보호 실태가 도마위에 오를 것으로 보여진다.

 

 

 

 

 

▣ 주민번호 대체수단 아이핀의 최대위기 

 

인터넷에서 주민번호를 대체하는 아이핀이 최대 위기를 맞고 있다. 특히 지역정보개발원에서 관리하는 공공아이핀 시스템 자체가 해킹되어 사용할 수 없는 무용지물이 된 것이다. 앞서 방통위에서 아이핀 기술안정성에 의문이 제기된 가운데 우려했던 사고가 실제 벌어진 것이다. 손도 못쓴 채, 해커가 해킹을 감행한 샘이다. 정부는 아이핀의 기술적 안정성에 결함이 있다는 사실을 인지하고도 방치했다는 비난을 피할 수 없게 되었다.

 

이런 위기상황은 그 전에 예고된 사건이었다. 방통위는 아이핀 설계 당시 예상하지 못했던 단점이 생길 수 있다고 아이핀 기술원리상 관리와 평가 기관이 해킹당하면 아이핀에 대한 의미가 없어진다고 이미 아이핀의 맹점을 지적한 바 있다. 정부는 주민번호를 대체하는 아이핀을 만들 것이 아니라 애시당초 주민번호 자체가 없는 인터넷 생태계를 만들어야 했다. 결국 아이핀이 주민번호를 대체하면서 해커의 또 다른 표적이 되고 말았다는 지적을 피할 수 없게 되었다.

 

 

 

 

▣ 해킹 툴은 어떤 방법이 사용되었나

 

공공 아이핀 발급 시스템은 중요 국가 인프라 시설이다. 해커는 파라미터 위변조라는 수법을 동원해 공공 아이핀 시스템 취약점을 공격했다. 공공 아이핀에 가입하려면 공인인증서로 공인인증을 거치게 되는데 본인인증이 정상적으로 이뤄진 것처럼 시스템이 오인하도록 데이터를 위변조 했다는 것이다. 사실상 교묘하게 아이핀의 본인인증 과정을 뛰어 넘었다는 것. 공격에 2000개 국내 IP가 동원되었으며 중국어 버전용 전문 소프트웨어가 사용되었다.

 

그러나 아직 정확히 어떤 해킹 툴 기법이 사용되었는지 단정짓기 어렵다. 어떤 신문기사에 전문가들은 의견이 조금씩 다르다. 앞서 언급한 '파라미터 위변조'라는 수법이 사용되었다고 한다. 파라미터는 모든 프로그램을 짤 때 필수적으로 들어가고, 우회 접속을 하려면 파라미터 변조가 필요하므로 '파라미터 변조'는 해킹에서 많이 이용되는 수법이다. 아이핀 발급시 1,2,3단계 인증과정에서 1~2단계 주민번호나 공인인증서 확인과정을 뛰어넘어 마치 인증된 것처럼 변조하여 사용한 것이다. 이런 방법으로 중국 소프트웨어 툴을 적용해 대량으로 생성한 것으로 분석된다. 

 

3일동안 무려 75만건의 아이핀이 발급됐다는 점에서 자동화된 해킹 툴이 존재한다는 가능성이 분명 존재한다. 결국 공공 아이핀 발급시스템 설치 후 제대로 보안 관리가 되지 않은 사실이 밝혀진 것이다. 공공 아이핀 발급 시스템처럼 중요한 국가 인프라는 보안 취약점을 지속 점검해야 한다. 행자부는 뒤늦게 공공아이핀 소스코드를 집중분석하고 모의 해킹을 통한 취약점 긴급 장애점검에 두팔을 걷어 부치고 있다. 이미 아이핀시스템 전면 재구축 방안까지 모색하며 검토에 들어간 것으로 보인다.

 

하지만 이런 사태가 발생했더라도 차근차근 원인을 분명히 밝혀 내는 것이 중요하다. 서두르지 말고 공공 아이핀 발급 시스템 자체에서 발생한 취약점인지 운영상의 잘못인지 밝혀야 한다. 중요한 국가 웹시스템과 관련해 취약점을 찾는 버그바운티를 활성화하면 이 문제에 적극적으로 대응할 수 있다는 전문가의 의견도 제시되었다.

 

 

 

 

 

▣ 아직 피해는 없는 것일까, 대책마련은? 

 

피해가 없을까. 다들 우려하는 목소리가 높다. 행자부가 긴급 삭제한 75만건 외에 같은 방법으로 발급된 아이핀이 더 있을 것으로 추정하고 있다. 이번 사건이 공공 아이핀 발급 시스템 취약점에서 비롯되었기 때문이다. 이번에는 주민번호 75만건이라는 대량 발급사태로 꼬리가 잡혔지만 과거에 같은 방법으로 취약점을 공격, 조금씩 발급했을 가능성도 배제할 수 없다. 정부는 이번 해킹 취약점 공격으로 유출된 주민번호가 이용됐는지, 부정 발급된 아이핀으로 개인정보가 유출되었는지 등등의 문제를 아직 명확하게 파악하지 못한 상태다. 하지만 해커가 미리 확보한 개인정보를 시스템 공격에 사용했을 것으로 짐작된다. 공공아이핀 발급에는 이름과 주민번호가 필수다. 부정 발급된 공공 아이핀과 동일한 개인정보로 가입된 이용자가 게임 사이트 3곳에 8000명이나 있었기 때문이다.

 

확실한 피해로 단정지을 수는 없는 상황이지만 절대로 안심할 수는 없다. 흘러간 개인정보가 어떤 경로로 사용되어는지 추적이 쉽지 않기 때문이다. 게임 웹사이트에 회원가입된 8천명과 관련해 게임회사에서는 확인 후 탈퇴조치를 통보했다고 하지만 안전성 문제는 여전히 미지수로 남아 있는 상태다. 앞으로 공공 아이핀 발급시스템을 대체할 수단이 나오든지 설계부터 다시 피드백하여 문제점이 무엇인지 분석후 문제점을 보완할 필요가 있다.