디지털 아이덴티티와 공인인증, 블록체인

1.
은행연합회와 금융결제원의 블록체인 프로젝트에서 소개하였던 프로젝트중 은행연합회 프로젝트는 기사만 놓고 보면 말이 많았습니다.

은행 공동 블록체인사업, ‘짝퉁 기술’ 논란…SI업계·금융권 반발

이 기사에 대해 은행연합회는 “은행연합회는 은행 공동 블록체인사업에 참여하는 모든 SI사들에게 차별없는 기회를 제공하여 우수한 기술력의 제안사를 공정하게 선정할 예정이고 블록체인의 특정 기술을 국한 또는 배제하지 않기 위해, 제안요청설명회 및 BMT에서 기술 스펙을 특정하지 않고 중앙집중센터에서 인증서를 발급하는 기존 공인인증체계의 단점을 개선하고, 분산원장에 부합하는 블록체인 시스템을 구축할 예정”이라고 반론자료를 내놓았습니다. 이런 우여곡절끝에 삼성SDS가 은행연합회 프로젝트를 수주하였습니다.

연합회는 이번 블록체인 인프라 구축과 기술 검증을 거쳐 상용화와 은행권, 타 업권 확대를 구상하고 있어 SW업계는 관심을 기울여 왔다. 지난 10일 열린 설명회에는 삼성SDS, LG CNS, SK㈜C&C 등 대기업과 IBM, 중견기업, 스타트업 등 20여 개사가 참여했으나 LG CNS와 SK㈜C&C는 사업성을 이유로 제안서를 제출하지 않았다. 삼성SDS는 블록체인 플랫폼 ‘넥스레저’를 개발해 현재 삼성카드의 전자문서 원본확인과 제휴사 회원인증에 활용하고 있어 높은 평가점수를 받았던 반면 IBM·KCC정보통신, 현대정보기술은 명확한 검증 실적과 구축사례 등을 내놓지 못한 것으로 전해졌다. 삼성SDS는 이번 사업을 바탕으로 향후 은행권에서 진행할 블록체인 신사업에서 추가 수주 등 유리한 고지를 선점했다.
삼성SDS, 은행연합 블록체인 사업 수주중에서

삼성SDS가 입찰을 전후하여 고민이 많았다는 기사가 있습니다. SI를 하지 않기로 선언한 SDS가 NexLedger로 은행연합회가 제시한 요구사항울 충족하지 못할 경우입니다.

삼성SDS는 최근 블록체인, 빅데이터, 클라우드 등 IT신기술을 활용한 플랫폼과 솔루션 개발에 박차를 가하고 있다. 글로벌 시장에서 신기술을 기반으로 유력 SW벤더로서의 기반을 닦겠다는 각오다. 물론 해외 진출 등을 위해선 ‘국내 사례’가 확보돼야 한다. 이런 측면에서 최근 국내에서 발주되고 있는 금융, 공공시장의 ICBM류의 사업은 관심이 대상일 수 밖에 없다. 하지만 시장은 삼성SDS의 희망대로 흘러가지 않는 분위기다. 최근 은행연합회가 주도해 추진 중인 ‘은행권 블록체인(blockchain) 시스템 구축사업’이 사례다. 은행연합회는 시스템 구축의 세부요건은 참여 사업자가 제안하도록 했다. 사실상 SI(시스템통합)사업으로 발주하는 기존 관행과 큰 차이가 없다. 그러나 SI가 아닌 솔루션과 플랫폼으로만 접근하고자 하는 삼성SDS로선 부담일 수 밖에 없다.
솔루션 사업 꿈꾸는 삼성SDS가 직면한 현실중에서

2.
블록체인 비즈니스를 검색하면 자주 등장하는 단어가 Digital Identity입니다. 블록체인을 통하여 디지탈환경에서 신분 증명을 하자는 개념입니다. 국내 은행도 블록체인 기반의 신분증명을 적용하자고 하는 시도를 하였습니다. 다만 이런 시도가 은행연합회의 프로젝트와 겹칩니다.

KEB하나·신한·우리·기업·국민은행 등 5개 시중은행은 글로벌 블록체인 컨소시엄인 R3와 함께 ‘디지털 아이덴티티(Digital Identity)’로 명명된 블록체인 신분증 앱을 공동 개발하고 있다.블록체인 신분증은 다양한 모바일 앱 서비스를 자체 아이디 대신 페이스북이나 카카오톡을 경유해 로그인할 수 있는 것과 비슷한 개념으로 이해하면 된다. 모바일에 블록체인 신분증 앱을 설치한 뒤 이 앱에 로그인 하면 은행별로 따로 로그인·본인인증 절차를 거칠 필요 없이 비대면 계좌 개설이나 금융거래(해외송금, 간편결제 등)를 할 수 있다. 또 개인정보 관리 주체가 은행이나 제3의 공인기관에서 사용자 본인으로 바뀌면서 보안성·프라이버시가 크게 강화될 것이라는 진단이다.R3 관계자는 “블록체인 신분증이 개발되면 그간 금융권 고민이었던 고객확인 절차가 간소해지고 보안 문제도 상당 부분 해소될 것으로 기대된다”며 “고객 입장에서도 비대면 계좌 개설이나 금융거래가 간편해지면서 핀테크산업이 폭발적으로 성장하는 데 기여하게 될 것”으로 기대했다.
블록체인 모바일 신분증 뜬다…신한 등 5개銀 공동개발중에서

블록체인 신분증명을 놓고 PKI방식의 공인인증서를 대체하지 못한다는 비판도 있습니다.

은행연합회에서 블록체인과 공인인증서를 담당하는 임영빈 IT부 부부장은 “현재 나오고 있는 블록체인이 공인인증서를 완전히 대체한다는 것은 은행연합회 발표를 확대해석 한 것으로 보인다”라며 “은행쪽에서 공인인증서를 폐지하고 블록체인으로 대체할 계획은 없는 상태”라고 말했다.은행연합회의 설명에 따르면 애초에 공인인증서를 블록체인으로 대체한다는 소리는 현재로써는 불가능한 것으로 블록체인 기술을 공인인증서와 결합해 이용자의 편의성 증대 등 불편함 해소에 방점이 찍혀있다.

이는 한국인터넷진흥원이나 블록체인 업계, 은행연합회, 인증 관련 업체들의 공통된 의견으로 결론적으로 PKI 기반의 공인인증서를 서명 기능이 없는 블록체인으로 대체한다는 것은 어불성설이라는 주장이다. 다만, 블록체인을 공인인증서와 결합한다면 그전에 문제로 지목됐던 불편함은 다수 개선할 수 있다는 의견이다.은행연합회에서 현재 진행 중인 블록체인사업의 경우 공인인증서를 블록체인으로 대체하고자 하는 것이 아니라, 기존 각 금융사 별로 발급했던 공인인증서의 불편함을 개선하고자 블록체인의 분산원장 기술을 활용한 공인인증서 시스템 구축을 하는 것이 주요 골자다.임영빈 부부장은 “블록체인을 활용해 기존의 공인인증서는 인증센터에서 발급을 하게 되는데, 이 과정에서 고비용이 발생하는 구조”라며 “각 은행들이 블록체인 시스템을 구축하면서 어느 곳에서 발급 받더라도 동일하게 공인인증서를 사용할 수 있게 된다”고 설명했다.

현재 공인인증서 발급 구조를 살펴보면 은행에서 사용하는 일반적인 공인인증서는 ‘금융결제원’, 주식 거래를 위한 인증서는 ‘코스콤’에서 발급하게 된다.예컨대 A은행 고객이 은행에서 공인인증서를 발급 받았다고 하더라도 실제로는 금융결제원에서 발급 해주는 것을 A은행에서 전달해 주는 형태다. 또한 고객이 B은행에서 공인인증서를 발급한다고 하면 이 역시 금융결제원에서 접수를 받아 발급하게 된다. 곧 기존 공인인증서는 어느 은행에서 공인인증서 발급 신청을 했더라도 금융결제원을 통해서 발급했던 구조인데, 이 발급 정보가 금융사별로 공유가 이뤄지지 않았기 때문에 금융사별로 별도의 공인인증서를 발급 받는 비효율성과 불편이 발생했던 이유다.블록체인의 분산원장을 활용하면 금융결제원을 거치지 않고, 고객의 공인인증서 발급 기록을 금융사들이 공유하게 돼 중복 발급을 피할 수 있다는 설명이다.임영빈 부부장은 “공인인증서의 기반 기술인 PKI가 현존하는 암호체계 중 가장 보안성이 높은 체계로 블록체인 기술이 아무리 도입된다 하더라도 완전 대체는 불가능”이라며 “다만, 은행연합회는 고객들이 공인인증서를 문제없이 편리하게 사용할 수 있도록 계속 노력할 계획”이라고 강조했다.
‘공인인증서 완전퇴출 불가능’…대체기술 블록체인도 무용중에서

블록체인 신분증명과 PKI를 둘러싼 관심은 한국만 아닙니다. Implementing a PKI on a Blockchain을 보면 구체적인 구현방안까지 다루고 있습니다.

Download (PDF, 233KB)

영국정부가 운영하는 GOV.UK Verify는 다른 관점으로 디지탈 아이덴티티를 바라봅니다.

Regardless of the properties blockchain technologies may offer (largely based on decentralisation, public views of the data, and immutability), there are some red flags for architects and service designers:

The technology is immature
There are security issues (for example, lack of Key Management)
Blockchain has shown poor performance at scale
There’s a lack of established standards

Does blockchain revolutionise digital identity?

The consensus of identity experts seems to be a resounding no. You can build distributed ledgers without resorting to the blockchain, and you can preserve privacy in many other ways. Identity can be improved but it simply isn’t broken, so it’s hard to see where blockchain technologies are really required.

There are potential uses for blockchain type technologies in the creation of immutable evidence chains for individuals wishing to prove their identity. For example, where the individual is starting with no or minimal evidence and needs to build a chain of evidence over time, as is the case for refugees. There may also be applications for personal data stores and attribute services associated with, or unlocked by, verified identity that can enhance the ecosystem.

There are some basic maturity issues with these technologies including the lack of standards, common terminology, or demonstrable examples of ‘real’ implementations. Some of this is to be expected at this stage but, where there are known scalability and security issues left unanswered, the risk of implementation may outweigh any benefit. Blockchain is unproven.
Does digital identity need blockchain technology?중에서

사실 영국의 GOV.UK Verify은 특정한 기술에 집착하지 않는 디지탈 아이덴티티 서비스를 구축하고자 노력합니다. 이런 결과중 하나가 The Open Identity Exchange입니다. 여기서 펴낸 최근 보고서입니다.

Three aspects of the model were identified for further exploration:

User acceptability
Technical capability to build an identity assurance hub
Data availability, sufficient to enable a significant majority of citizens and residents (90% plus) to complete identity verification online and obtain a digital identity to Level of Assurance 2 (ie a recognised level sufficient to stand a test in English Civil Law)

Download (PDF, 1.15MB)

3.
은행연합회, 금융결제원, 금융투자협회(코스콤)외에 블록체인 프로젝트를 추진하는 금융기관이 있습니다. 예탁원입니다. 전자투표와 관련한 블록체인 PoC(개념검증) 수행 사업을 발주하였습니다. 장외파생상품 청산결제서비스에 블록체인을 적용하려는 DTCC와 바른 방향입니다. 사실 예탁원을 대신할 수 있는 경쟁자가 없기때문입니다.

Download (PDF, 1.13MB)