`보안성` 실제 효과 낮을수도
은행서 보내는 질의ㆍ응답값 모두 해킹 가능
비밀번호 조합방식 1190개 경우의 수 무의미
정보통신부와 금융감독원이 전자거래 안전성 강화 종합대책의 일환으로 내놓은 보안카드 입력방식 개선방안의 보안성 강화 효과가 기대보다 크지 않을 수 있다는 지적이 제기되고 있다.
지난 20일 발표된 전자거래 안전성 강화 대책에 따르면, 현재 인터넷뱅킹에 사용되는 보안카드의 사용 가능한 비밀번호가 35개여서 일부 번호가 유출될 경우 안전성을 확보하기 어려운 문제를 개선하기 위해 보안카드의 2개 번호를 제시해 첫 번째 번호의 앞 두 자리, 두 번째 번호의 뒤 두 자리를 조합해 입력하는 방법이 적용된다. 이 조합방식은 공인인증서 재발급 시 온라인 신원확인을 강화하기 위한 방법으로도 채택되는 등 당분간 인터넷뱅킹의 가장 기본적인 보안성 강화수단으로 사용될 전망이다.
정통부 관계자는 "조합방식으로 사용 가능한 보안카드 비밀번호가 35개에서 1190개로 늘어남에 따라 일부 비밀번호가 유출돼도 안전성이 높다"고 설명했다.
그러나 한 정보보호 전문업체 관계자는 "만들 수 있는 비밀번호 개수가 대폭 늘지만 실제 공격자 입장에서 보면 기존 보안카드 입력방식에 비해 필요한 비밀번호를 알아내는 작업의 난이도가 늘어난 비밀번호의 수에 비례하는 것은 아니다"라며 "지난 5월 발생한 인터넷뱅킹 해킹사건에 사용된 해킹 프로그램의 경우 대상자의 자판 입력 내용만을 알 수 있어 이번 개선안이 큰 효과를 볼 수 있지만, 은행에서 보내는 질의값과 응답값을 모두 가로챌 수 있는 해킹 프로그램을 사용하면 어렵지 않게 필요한 비밀번호를 알아낼 수 있다"고 말했다.
예를 들어 `8번째 번호의 앞 두 자리와 35번째 번호의 뒤 두 자리를 조합해서 보내라'는 질의값과 이에 해당하는 응답값을 해킹 프로그램으로 가로채면 해당 자리의 숫자를 파악할 수 있으며, 이 방법을 되풀이하면 필요한 각 자리의 비밀번호를 조합할 수 있다. 산술적으로 보안카드의 모든 비밀번호를 알아내는데 필요한 횟수는 기존 방식이 최소 35회이며, 개선안이 최소 69회로 작업량이 크게 늘어나지 않는다는 것이다.
이 관계자는 "결국 1190개의 경우의 수가 의미를 갖기 위해서는 만일 공격자가 고객의 응답값을 가로채더라도 은행에서 보내는 질의값을 파악할 수 없도록 하는 등의 대책이 필요하다고 본다"며 "질의값은 휴대폰 단문메시지로 보내고 응답값은 웹사이트를 통해 보내는 등 질의와 응답의 통신채널을 달리하는 방안을 고려할 필요도 있다"고 말했다.
이에 대해 정통부 관계자는 "당초 더욱 복잡한 보안카드 번호 입력방식 등 보안성을 보다 높이는 방안도 검토됐지만 이용자 불편이 클 수 있어 채택하지 않았으며, 휴대폰 단문메시지의 경우 추가비용이 발생하기 때문에 적용이 쉽지 않다"며 "보안카드 비밀번호 입력 외에도 해킹 프로그램 대응 강화, 공인인증서 암호체계 강화 등 다른 보완책과 함께 다중의 보안절차를 형성하기 때문에 문제가 없다고 보며, 추후 나타날 수 있는 문제는 관련기관과 지속적인 공동 대응을 통해 보완해나갈 것"이라고 말했다.
은행서 보내는 질의ㆍ응답값 모두 해킹 가능
비밀번호 조합방식 1190개 경우의 수 무의미
정보통신부와 금융감독원이 전자거래 안전성 강화 종합대책의 일환으로 내놓은 보안카드 입력방식 개선방안의 보안성 강화 효과가 기대보다 크지 않을 수 있다는 지적이 제기되고 있다.
지난 20일 발표된 전자거래 안전성 강화 대책에 따르면, 현재 인터넷뱅킹에 사용되는 보안카드의 사용 가능한 비밀번호가 35개여서 일부 번호가 유출될 경우 안전성을 확보하기 어려운 문제를 개선하기 위해 보안카드의 2개 번호를 제시해 첫 번째 번호의 앞 두 자리, 두 번째 번호의 뒤 두 자리를 조합해 입력하는 방법이 적용된다. 이 조합방식은 공인인증서 재발급 시 온라인 신원확인을 강화하기 위한 방법으로도 채택되는 등 당분간 인터넷뱅킹의 가장 기본적인 보안성 강화수단으로 사용될 전망이다.
정통부 관계자는 "조합방식으로 사용 가능한 보안카드 비밀번호가 35개에서 1190개로 늘어남에 따라 일부 비밀번호가 유출돼도 안전성이 높다"고 설명했다.
그러나 한 정보보호 전문업체 관계자는 "만들 수 있는 비밀번호 개수가 대폭 늘지만 실제 공격자 입장에서 보면 기존 보안카드 입력방식에 비해 필요한 비밀번호를 알아내는 작업의 난이도가 늘어난 비밀번호의 수에 비례하는 것은 아니다"라며 "지난 5월 발생한 인터넷뱅킹 해킹사건에 사용된 해킹 프로그램의 경우 대상자의 자판 입력 내용만을 알 수 있어 이번 개선안이 큰 효과를 볼 수 있지만, 은행에서 보내는 질의값과 응답값을 모두 가로챌 수 있는 해킹 프로그램을 사용하면 어렵지 않게 필요한 비밀번호를 알아낼 수 있다"고 말했다.
예를 들어 `8번째 번호의 앞 두 자리와 35번째 번호의 뒤 두 자리를 조합해서 보내라'는 질의값과 이에 해당하는 응답값을 해킹 프로그램으로 가로채면 해당 자리의 숫자를 파악할 수 있으며, 이 방법을 되풀이하면 필요한 각 자리의 비밀번호를 조합할 수 있다. 산술적으로 보안카드의 모든 비밀번호를 알아내는데 필요한 횟수는 기존 방식이 최소 35회이며, 개선안이 최소 69회로 작업량이 크게 늘어나지 않는다는 것이다.
이 관계자는 "결국 1190개의 경우의 수가 의미를 갖기 위해서는 만일 공격자가 고객의 응답값을 가로채더라도 은행에서 보내는 질의값을 파악할 수 없도록 하는 등의 대책이 필요하다고 본다"며 "질의값은 휴대폰 단문메시지로 보내고 응답값은 웹사이트를 통해 보내는 등 질의와 응답의 통신채널을 달리하는 방안을 고려할 필요도 있다"고 말했다.
이에 대해 정통부 관계자는 "당초 더욱 복잡한 보안카드 번호 입력방식 등 보안성을 보다 높이는 방안도 검토됐지만 이용자 불편이 클 수 있어 채택하지 않았으며, 휴대폰 단문메시지의 경우 추가비용이 발생하기 때문에 적용이 쉽지 않다"며 "보안카드 비밀번호 입력 외에도 해킹 프로그램 대응 강화, 공인인증서 암호체계 강화 등 다른 보완책과 함께 다중의 보안절차를 형성하기 때문에 문제가 없다고 보며, 추후 나타날 수 있는 문제는 관련기관과 지속적인 공동 대응을 통해 보완해나갈 것"이라고 말했다.
