<공개키 관리체계 (하)>
현재 세계적으로 볼 때 대규모의 공개키 인프라(PKI)구축이 진행되고 있는 곳은 별로 많지 않다. 대표적인 것으로는 인터넷 표준으로 IETF/PKIX에서 마련 중인 IPK(Internet PKI,http://ietf.org/internetdrafts), 미국연방정부의 디지털 서명 표준인 DSS를 위해 구축중인 FPKI(Federal PKI, http://cs-www.ncsl.nist.gov), 그리고 유럽연합의 산, 학, 연이 공동개발하고 있는 ICE-TEL PKI(http://www.darmstadt.gmd.de/ice-tel) 등을 들 수 있다.
이같은 표준은 모두 아직 구축단계이거나 시험단계에 있으며, 호환성을 위해 CCITT의 X.509를 근간으로 하고 있고, 현재 널리 사용되고 있는 PEM이나 PGP의 키관리를 지원해 주려하며, 또한 서로가 어느정도 공조체제를 이루고 있다.
우리나라에서도 학계 주도로 디지털서명이나 해쉬알고리듬에 대한 표준작업이 진행되고 있으나 아직 공개키 인프라 구축을 위한 준비작업은 미진한 것으로 보인다.
공개키 인프라 구축에는 많은 인적 자원과 상당한 기간을 필요로하는 만큼 우리나라도 이제 이쪽으로도 관심을 가져야 할 것이다. 정부차원의 추진이 당분간 여건상 힘들다면 일반 기업체에서(VeriSign사의 DigitalID처럼) 상업적인 서비스를 시작해 보는 것도 국내 보안산업을 활성화시킬 수 있는 계기가 될 것이다.
공개키 암호시스템의 주요 역할의 하나가 비밀키 시스템을 위한 키를 분배하는 것이므로 공개키 인프라의 구축시 키위탁(Key Escrow)이나 비밀키의 분실시를 대비한 키복구(Key Recovery)시스템을 결합시키려는 시도도 이루어지고 있다. 미국의 경우가 그렇다. 정보기관의 입장에서는 인프라 구축시 합법적인 도청이 가능한 메커니즘을 갖추기를 바라며, 업체들의 입장에서도 정부의 요구에 응하는 한편 사용자가 비밀키 분실로 중요한 정보를 버리는 일을 방지하기 위해 믿을 수 있는 제 3자로부터 비밀키를 복구시킬 수 있는 메커니즘을 갖추기를 바랄 수 있다.
미국의 경우는 이러한 쌍방의 의견이 어느정도 일치한 결과라 할 수 있다. 그러나 이러한 메카니즘을 강제화하느냐 아니면 지원자에 한해 실시하느냐와 믿을 수 있는 제3자가 누가되느냐는 핵심적인 논쟁의 대상이 될 수 있을 것이다.
디지털시대에 보안만으로 해결하기 어려운 대표적인 예가 디지털문서에 대한 소유권분쟁시의 해결방안이다. 디지털 서명이 정보보안의 필수적인 도구이기는 하나 이러한 디지털 공증(혹은 Digital Time-stamping)서비스를 위해서는 문서의 생성일시를 조작할 수 없게 하는 메커니즘이 필요하므로 디지털서명만으로 신뢰할 수 있는 공증서비스를 제공하기는 어렵다. 만일 믿을 수 있는 제3자인 디지털 공증기관에 전적인 신뢰를 둘 수 있다면 이러한 서비스를 쉽게 제공할 수 있을 것이다.
그러나 이해관계가 첨예한 이런 응용의 경우 결탁에의한 조작이 가능하고 또한 이러한 조작을 검출해 낼 수 없는 제3자에게 전적인 신뢰를 두어야 한다면 이용자들에게 신뢰를 받을 수 없는 것은 자명하다.
공개키 확인서가 공개키와 그 소유자를 결합시켜 통신망 상에서 그 소유자의 신분증 역할을 함으로써 디지털서명시 서명문서와 서명자간의 부인할 수 없는 다리를 놓아 주는 역할을 한다면 Digital Time-stamp는 여기에 문서의 작성시간을 추후조작할 수 없는 방법으로 결합시켜 줌으로써 복제가 용이한 디지털문서들에 대한 소유권을 보장해 줄수 있는 매우 강력한 기능을 한다. 실제로 이러한 서비스는 이미 상용화되고 있으며(Surety Technology사) 향후 매우 중요한 응용분야로 떠오를 것이므로 한 번쯤 고민을 해 볼만한 분야가 아닐까 생각된다.