최근 해킹으로 문제가 됐던 공공아이핀의 운영 시스템을 정부가 전면 재구축하기로 했다.
행정자치부는 지난 2월28~3월2일 발생한 공공아이핀 부정발급 사고와 관련해 사고원인과 재발방지 종합대책을 25일 발표했다.
이날 발표된 대책은 지난 9일부터 가동된 민관합동 '공공아이핀 부정발급 대책 수립 TF'에서 행자부와 방통위 등 관계기관 합동점검단이 공공아이핀센터 현장 점검으로 밝혀낸 사고원인을 토대로 마련한 것이다.
합동점검단장인 노병규 한국인터넷진흥원(KISA) 개인정보보호본부장은 "이번 사고의 원인이 공공아이핀시스템의 설계상 오류에서 비롯됐다"고 밝혔다.
즉 해커가 설계상 오류를 악용해 정상발급 절차를 우회한 뒤 파라미터를 변조해 아이핀을 대량으로 부정발급 받았다는 것이다.
또한 발급건수 급증 등 이상 징후에 대한 관제체계가 없었고 공공아이핀이 개발된 2008년 이후 프로그램 업그레이드와 보안 투자가 미흡했던 것으로 드러났다. 위탁운영기관의 관리역량과 전문성 부족도 이번 사고의 원인 중 하나로 지적됐다.
노병규 본부장은 이번에 해킹 경로로 이용된 프로그램 오류는 한국지역정보개발원에서 사고 발견 즉시 수정했다고 설명했다.
합동점검단은 이번 사고의 원인과 함께 공공아이핀 보안강화대책도 발표했다. 먼저 민간 아이핀에서 사용하는 해킹방지 기능(해쉬함수 검증)과 2차 패스워드 등 추가 인증수단을 도입하고 부정발급이 의심되는 국내외 IP를 접속 시도 즉시 차단할 계획이라고 밝혔다.
현재 금융기관에서 운영 중인 부정사용방지시스템(FDS)을 공공아이핀시스템에 도입하고 화이트해커 등을 활용해 실제 공격상황에 버금가는 모의해킹을 정기적으로 실시하는 등 취약점 점검도 강화해 나갈 예정이다.
더불어 행자부는 시스템 전면 재구축과 공공아이핀 제도개선, 안전한 아이핀 이용환경 조성 등 이번 사고와 관련해 종합적인 대책도 추진하기로 했다. 또한 이번 사고에 대한 책임과 제2의 보안사고 예방을 위해 공공아이핀 관리·운영 주체를 전문보안기관으로 이관하는 방안도 검토키로 했다
이와 함께 방송통신위원회와 협의해 안전한 아이핀 이용환경 조성을 위해 민간아이핀 3사와 함께 '아이핀 부정발급·도용 근절 캠페인'을 대대적으로 벌이기로 했다.
특히 공공아이핀은 오는 5월1일부터 일제 정비기간을 정해 모든 사용자가 본인확인 후 재사용토록 변경해 그동안 도용됐거나 타인 명의로 부정 발급된 공공아이핀을 정비하기로 했다. 또한 공공아이핀 유효기간을 1년으로 제한하고 '3개월에 한 번씩 비밀번호 변경하기' 캠페인도 실시할 계획이다.