인증의 세 요소와 공인인증서 이후의 인증서
은행 창구 직원은 내 얼굴과 신분증을 봅니다. 인터넷 은행은 무엇을 보고 나라고 믿을까요? 인증의 세 가지 단서와, 2020년 공인인증서 제도가 없어진 뒤 인증서가 어떻게 바뀌었는지, 전자금융거래에서 인증이 맡는 일을 살펴봅니다.
화면 너머의 나를 알아보는 세 가지 단서
은행 창구 직원은 내 얼굴과 신분증을 봅니다. 인터넷 은행은 내 얼굴을 볼 수 없습니다. 그래서 내가 아는 것, 내가 가진 것, 나 자신을 대신 확인합니다. 미국 국립표준기술연구소(NIST)의 인증 지침도 나를 확인하는 단서의 종류입니다. 아는 것, 가진 것, 나 자신 세 가지가 있습니다.를 이 세 종류로 나눕니다.[1]
| 인증 요소 | 예 | 약한 곳 |
|---|---|---|
| 아는 것 | 비밀번호, PIN | 엿보거나 속여서 알아낼 수 있습니다 |
| 가진 것 | 휴대폰, 일회용 비밀번호입니다. 한 번 또는 짧은 시간만 쓰이는 숫자로 '가진 것'을 확인합니다.OTP는 어떻게 숫자를 맞추고, 문자 인증은 어디가 약한가 챕터에서 보기 기기, 인증서가 든 기기 | 잃어버리거나 빼앗길 수 있습니다 |
| 나 자신 | 지문, 얼굴 | 비밀이 아니어서 남이 얻어 낼 수도 있습니다[1] |
집 현관을 떠올려 보세요. 비밀번호 도어락은 아는 것, 열쇠는 가진 것, 지문 도어락은 나 자신으로 문을 엽니다. 문이 비밀번호와 열쇠를 함께 요구하면, 도둑은 비밀번호를 알아내고 열쇠도 훔쳐야 합니다. 다만 인터넷의 문은 도둑이 문 앞까지 오지 않아도 멀리서 두드릴 수 있습니다. 그래서 온라인에서는 한 겹보다 여러 겹이 더 중요합니다.
서로 다른 종류의 요소를 둘 이상 요구하는 것을 서로 다른 종류의 인증 요소를 둘 이상 요구하는 인증입니다. 비밀번호와 휴대폰을 함께 쓰는 식입니다.이라고 합니다.[1] 비밀번호를 두 번 묻는 것은 다중 인증이 아닙니다. 둘 다 ’아는 것’이라 한 번 엿보면 함께 뚫리기 때문입니다.
공인인증서가 없어진 뒤의 인증서
2020년 12월 10일, 통째로 고쳐 쓴 전자서명법이 시행되었습니다.[2] 이 법은 공인인증서 제도를 없앴습니다.[2] 그전에는 정부가 지정한 기관이 내준 공인인증서의 서명에만 더 강한 효력이 있었습니다. 본인의 서명이고 서명 뒤에 내용이 바뀌지 않았다고 미리 추정해 준 것입니다.[3] 정부는 이 특권이 시장 독점을 낳고 새 인증 기술의 발전을 막는다고 봤습니다.[2]
지금은 전자서명이 전자적 형태라는 이유만으로 효력을 잃지 않습니다.[4] 법령이나 약정이 고른 전자서명이면 서명이나 도장과 같은 효력을 가집니다.[4] 옛 공인인증서도 사라지지 않고 여러 전자서명 수단 가운데 하나로 계속 쓰입니다.[3] 지금은 이것을 옛 공인인증서를 지금 부르는 이름입니다. 2020년 12월부터 특별한 효력 없이 여러 인증서 가운데 하나로 쓰입니다.라고 부르고, 그 밖의 인증서는 간편인증서라고도 부릅니다.[5] 법은 둘을 나누지 않고 모두 ’인증서’라고 씁니다.[6]
인증서를 내주는 사업자는 원하면 정부가 정한 운영기준을 지키는지 평가와 인정을 받을 수 있습니다.[7] 인정 업무를 맡는 기관으로는 한국인터넷진흥원(KISA)을 지정할 수 있습니다.[8] 받을 수 있다는 것이지, 받아야만 인증서를 낼 수 있다는 뜻은 아닙니다.[7]
“법적 효력은 공동인증서에만 있다”고 생각하기 쉽습니다. 2020년 12월부터 그런 특별한 지위는 없습니다.[3] 어느 인증서든 법령이나 약정이 정한 방식이면 서명의 효력을 가집니다.[4] 어떤 인증서를 받아 줄지는 그 서비스를 운영하는 기관과 이용자의 선택입니다.[3]
우리가 “인증서를 쓴다”고 할 때 실제로는 두 가지를 함께 씁니다. 서명을 만드는 비밀 정보인 전자서명을 만드는 데 쓰는 비밀 정보입니다. 인감도장에 해당하므로 남에게 넘기면 안 됩니다.와, 그 정보가 내 것임을 증명하는 인증서입니다.[6]
인감도장과 인감증명서를 떠올려 보세요. 전자서명생성정보는 인감도장이고, 인증서는 그 도장이 내 것이라는 인감증명서입니다. 증명서는 남이 봐도 되지만, 도장을 넘기면 남이 내 이름으로 서명할 수 있습니다. 다만 진짜 도장과 달리 이 정보는 파일이라 몰래 복사될 수 있습니다. 그래서 인증서 비밀번호와 보관 장소를 지키는 일이 곧 도장을 지키는 일입니다.
은행이 인증으로 확인하는 것
전자금융거래법은 금융회사가 인증 수단을 정해 내 신원과 권한, 거래 지시 내용을 확인하게 합니다.[9] 법은 이런 수단을 전자금융거래에서 나를 확인하는 데 쓰는 수단입니다. 인증서, 비밀번호, 생체정보 같은 것이 있습니다.라고 부릅니다. 인증서, 비밀번호, 생체정보 같은 것이 여기에 듭니다.[10]
어떤 수단을 쓸지는 금융회사가 거래의 위험을 보고 고릅니다.[11] 법은 금융위원회가 특정 기술을 강제하지 못하게 했습니다.[12] 그래서 예전처럼 모든 거래에 같은 수단을 요구하지 않습니다. 아래 세 번의 변화가 지금의 모습을 만들었습니다.
| 시점 | 바뀐 것 |
|---|---|
| 2015년 3월 | 전자금융거래에서 공인인증서를 써야 할 의무가 없어졌습니다[13] |
| 2016년 6월 | 계좌이체 때 보안카드·OTP를 써야 할 의무가 없어졌습니다[14] |
| 2020년 12월 | 전자서명법이 공인인증서 제도 자체를 없앴습니다[2] |
의무가 없어졌다고 OTP가 금지된 것은 아닙니다. 어떤 수단을 쓸지를 금융회사가 스스로 고르게 한 것입니다.[14]
인증 수단이 위조되거나 해킹으로 새어 사고가 나면 원칙적으로 금융회사가 손해를 물어 줍니다.[15] 하지만 이용자에게 고의나 중대한 과실이 있으면 이용자가 책임을 질 수 있습니다.[15] 접근매체를 남에게 빌려주거나, 남이 쓸 수 있음을 알면서 알려 주거나 방치한 경우가 그렇습니다.[16] 돈을 받고 접근매체를 빌려주는 일은 그 자체로 금지됩니다.[9] 사칭 사기 챕터에서 본 명의자와 실제 사용자가 다른 계좌입니다. 사기 피해금을 받아 빼돌리는 데 쓰입니다.사칭 사기는 어떻게 내 손으로 돈을 보내게 하나 챕터에서 보기도 명의자가 아닌 사람이 쓰는 계좌입니다.
인증 수단은 ’이 사람이 나’라는 증거입니다. 증거를 넘기면 받은 사람이 내 이름으로 거래하고, 그 손해를 내가 질 수도 있습니다. 인증서 비밀번호, OTP 번호, 인증 문자를 누구에게도 알려 주지 않는 이유입니다.
가장 흔한 ’가진 것’은 OTP와 휴대폰입니다. 다음 챕터에서는 OTP가 은행과 연락하지 않고도 같은 숫자를 맞추는 원리와, 문자 인증이 약한 이유를 봅니다.
용어 정리
- 인증 요소
- 나를 확인하는 단서의 종류입니다. 아는 것, 가진 것, 나 자신 세 가지가 있습니다.
- 다중 인증
- 서로 다른 종류의 인증 요소를 둘 이상 요구하는 인증입니다. 비밀번호와 휴대폰을 함께 쓰는 식입니다.
- 공동인증서
- 옛 공인인증서를 지금 부르는 이름입니다. 2020년 12월부터 특별한 효력 없이 여러 인증서 가운데 하나로 쓰입니다.
- 전자서명생성정보
- 전자서명을 만드는 데 쓰는 비밀 정보입니다. 인감도장에 해당하므로 남에게 넘기면 안 됩니다.
- 접근매체
- 전자금융거래에서 나를 확인하는 데 쓰는 수단입니다. 인증서, 비밀번호, 생체정보 같은 것이 있습니다.
이해도 점검
정답 0 / 3Q1어느 사이트가 비밀번호를 입력받은 뒤 '두 번째 비밀번호'를 하나 더 묻습니다. 이것은 다중 인증입니까?
Q22020년 12월 전자서명법이 바뀐 뒤의 인증서에 대한 설명으로 맞는 것은 무엇입니까?
Q3지인이 "인증서와 비밀번호를 잠깐 알려 주면 대신 이체해 주겠다"고 합니다. 전자금융거래법에 비춰 맞는 설명은 무엇입니까?
이 챕터의 요약
- 인증은 아는 것, 가진 것, 나 자신 가운데 서로 다른 종류를 둘 이상 겹칠 때 강해집니다.
- 2020년 12월부터 공인인증서의 특별한 효력이 없어졌고, 공동인증서도 여러 인증서 가운데 하나입니다.
- 인증 수단은 '이 사람이 나'라는 증거라서 넘기면 손해를 내가 질 수 있습니다.
출처와 신뢰도
- ASP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management (2025. 7.) · 미국 국립표준기술연구소(NIST)미국 연방 인증 지침의 최종판으로 800-63B를 대체했습니다. 인증 요소를 아는 것·가진 것·나 자신 세 종류로 나눈 정의와, 다중 인증을 서로 다른 종류의 요소를 둘 이상 요구하는 인증으로 정의한 용어집, 생체정보는 비밀이 아니고 동의 없이 얻어질 수 있다는 3.2.3절을 가져왔습니다.본문으로
- A전자서명법 (법률 제17354호, 2020. 6. 9. 전부개정, 2020. 12. 10. 시행) · 법제처 국가법령정보센터전부개정 법률의 연혁 원문입니다. 시행일(2020년 12월 10일)과, 공인인증서가 시장독점을 낳고 기술 발전과 서비스 혁신을 막는다는 문제 때문에 공인인증서 제도를 폐지한다는 제정·개정이유를 가져왔습니다.본문으로
- A전자서명제도 20여년 만에 개편, 다양한 신기술 전자서명 활성화 기반 조성 (보도자료, 2020. 5. 20.) · 과학기술정보통신부 (대한민국 정책브리핑)소관 부처의 발표입니다. 공인전자서명의 우월한 법적 효력(서명자의 서명이고 서명 뒤 내용이 바뀌지 않았다고 추정)을 폐지한다는 내용, 기존 공인인증서는 다양한 전자서명 수단 가운데 하나로 계속 쓸 수 있고 그 뒤에는 이용기관과 이용자의 선택에 따라 쓴다는 설명을 가져왔습니다.본문으로
- A전자서명법 제3조 (전자서명의 효력) · 법제처 국가법령정보센터현행 조문(2022. 10. 20. 시행)입니다. 전자서명이 전자적 형태라는 이유만으로 효력이 부인되지 않는다는 제1항과, 법령이나 약정에 따라 고른 전자서명은 서명·기명날인의 효력을 가진다는 제2항을 가져왔습니다.본문으로
- A전자서명 통합지원포털 · 한국인터넷진흥원(KISA)전자서명 인정 업무를 맡은 공공기관의 누리집입니다. 전자서명에 이용되는 인증서를 '공동인증서 및 간편인증서'로 나눠 안내하는 표기를 가져왔습니다. 2026년 10월 조회 기준입니다.본문으로
- A전자서명법 제2조 (정의) · 법제처 국가법령정보센터현행 조문입니다. 전자서명생성정보를 전자서명을 만드는 데 쓰는 전자적 정보로(제3호), 인증서를 전자서명생성정보가 가입자에게 유일하게 속한다는 사실 등을 증명하는 전자적 정보로(제6호) 정의한 부분을 가져왔습니다. 법은 공동인증서와 민간 인증서를 나누지 않고 모두 '인증서'라고 씁니다.본문으로
- A전자서명법 제8조 (운영기준 준수사실의 인정) · 법제처 국가법령정보센터현행 조문입니다. 전자서명인증사업자가 평가를 먼저 받은 뒤 인정기관으로부터 운영기준 준수사실의 인정을 '받을 수 있다'고 정한 제1항을 가져왔습니다.본문으로
- A전자서명법 제9조 (인정기관) · 법제처 국가법령정보센터현행 조문입니다. 과학기술정보통신부장관이 한국인터넷진흥원을 인정 업무를 맡는 인정기관으로 지정할 수 있다는 제1항을 가져왔습니다.본문으로
- A전자금융거래법 제6조 (접근매체의 선정과 사용 및 관리) · 법제처 국가법령정보센터현행 조문(2026. 10. 2. 시행)입니다. 금융회사가 접근매체를 정해 이용자의 신원, 권한, 거래지시 내용을 확인하게 한 제1항과, 접근매체의 양도와 대가를 받는 대여를 금지한 제3항 제1호·제2호를 가져왔습니다.본문으로
- A전자금융거래법 제2조 (정의) · 법제처 국가법령정보센터현행 조문입니다. 접근매체를 전자식 카드, 전자서명생성정보와 인증서, 이용자번호, 생체정보, 비밀번호로 정한 제10호를 가져왔습니다.본문으로
- A전자금융감독규정 제34조의2 (인증방법 사용기준) · 법제처 국가법령정보센터 (금융위원회 고시)현행 고시(2026. 7. 15. 시행)입니다. 금융회사가 전자금융거래의 종류·성격·위험수준 등을 고려해 안전한 인증방법을 쓰게 한 조문을 가져왔습니다. 현행 규정에는 특정 인증 수단의 이름이 나오지 않습니다.본문으로
- A전자금융거래법 제21조 (안전성의 확보의무) · 법제처 국가법령정보센터현행 조문입니다. 금융위원회가 인증방법 기준을 정할 때 특정 기술이나 서비스의 사용을 강제해서는 안 된다는 제3항(2014. 10. 15. 개정)을 가져왔습니다.본문으로
- A전자금융감독규정 개정 (보도자료, 2015. 3. 18.) · 금융위원회감독 당국의 발표입니다. 전자금융거래 때 공인인증서 또는 이와 동등한 인증방법을 써야 하는 의무를 폐지하는 규정 개정안을 의결했고 그날부터 시행한다는 내용을 가져왔습니다.본문으로
- A전자금융감독규정 (금융위원회고시 제2016-24호, 2016. 6. 30. 시행) 연혁과 개정이유 · 법제처 국가법령정보센터개정 고시의 연혁 원문입니다. 전자자금이체 때 보안카드와 일회용 비밀번호(OTP)를 의무로 쓰게 한 규정을 기술중립성과 금융회사 자율성을 이유로 폐지했다는 개정이유와 시행일을 가져왔습니다.본문으로
- A전자금융거래법 제9조 (금융회사 또는 전자금융업자의 책임) · 법제처 국가법령정보센터현행 조문입니다. 접근매체의 위조·변조나 해킹으로 얻은 접근매체 때문에 생긴 사고는 금융회사가 배상한다는 제1항과, 이용자의 고의나 중대한 과실이 있으면 미리 맺은 약정에 따라 책임의 전부나 일부를 이용자가 지게 할 수 있다는 제2항을 가져왔습니다.본문으로
- A전자금융거래법 시행령 제8조 (고의나 중대한 과실의 범위) · 법제처 국가법령정보센터현행 조문(2026. 4. 28. 시행)입니다. 접근매체를 제3자에게 빌려주거나 그 사용을 맡긴 경우, 남이 쓸 수 있음을 알면서 누설·노출·방치한 경우를 중대한 과실의 범위로 든 제1호·제2호를 가져왔습니다.본문으로