차세대 컴퓨팅 환경으로 각광받고 있는 웹서비스에서도 보안 문제는 여전히 중요한 이슈다. 어떤 플랫폼과 어떤 단말기에서도 사용자가 원하는 정보를 이용할 수 있다는 웹서비스의 이상은 사용자에게 많은 편리함을 줄 수 있지만 보안에 대한 안전장치가 마련되지 않는다면 심각한 문제를 일으킬 수도 있다.
웹서비스에서 보안과 관련해 주목을 받는 것은 통합인증이다. 통합인증은 사용자 신원 확인 서비스의 일종으로 한 번의 로그인으로 여러 가지 서비스를 이용할 수 있는 것이다. 서비스를 받을 때마다 로그인할 필요가 없기 때문에 사용자 편의성을 높여준다는 평가를 받고 있지만 반대로 완벽한 보안이 전제되지 않을 경우 상당한 피해가 예상된다.
만일 사용자가 통합인증을 통해 원하는 뉴스를 선별해 받을 수 있는 서비스를 받다가 사이버트레이딩이나 인터넷뱅킹 등 실제 금융 거래를 한다고 했을 때 보안에 문제가 발생할 경우 금융 피해로까지 번질 수 있다. 특히 기업간 금융 거래에 통합인증이 사용된다면 이같은 위험은 더욱 커진다.
◇구설수에 오른 패스포트=웹서비스 전략인 닷넷에 사활을 걸고 있는 마이크로소프트는 통합인증 서비스인 패스포트 때문에 골머리를 앓고 있다. 과거 반독점 시비로 곤욕을 겪었던 마이크로소프트는 패스포트의 보안에 문제가 있다는 주장이 불거지면서 이에 대한 대책 마련에 집중하고 있다.
로이터통신에 따르면 최근 미국전자프라이버시정보센터(EPIC)는 패스포트가 소비자 정보를 노출시킬 위험이 있다며 미국내 50개주 사법당국에 조사를 요청했다.
EPIC는 50개주 검찰총장들에게 보낸 편지에서 “소비자들이 패스포트를 사용할 경우 온라인 사기나 정크메일, 정보절도 등에 노출된다”고 지적하고 “이번 조치는 지난해 연방거래위원회(FTC)에 대한 조사 요청의 연장선상에 있다”고 밝혔다. EPIC는 “FTC를 포함한 연방정부가 마이크로소프트 제재를 통한 소비자 보호 및 공정경쟁 환경 조성에 실패했기 때문에 각 주정부가 나서줄 것을 요구한다”고 주장했다.
이와 함께 마이크로소프트 측에 대해 패스포트가 안전하며 소비자들의 정보를 보호하고 있다는 주장을 철회하기 바란다고 밝혔다. 또 소비자들은 이 프로그램의 사용을 자제해줄 것도 요청했다.
이에 대해 마이크로소프트는 릭 밀러 대변인을 통해 “사용자가 원하지 않는 한 마이크로소프트는 개인정보를 제3자와 공유하지 않기 때문에 정보 노출은 없다”고 강조했다. 또 패스포트는 단순히 다른 인증 서비스를 대체한 것이기 때문에 정크메일도 특별히 확산시키지 않는다고 밝혔다. 릭 밀러 대변인은 “패스포트에 제기되는 보안문제는 인터넷 전반에 대한 것으로 특별히 패스포트만의 문제는 아니다”고 덧붙였다.
EPIC는 FTC와 미국 주정부에 이어 향후 유럽연합(EU)의 개인보호법에도 패스포트에 대한 제재를 호소할 계획이다.
◇마이크로소프트의 대응=마이크로소프트는 IBM 및 베리사인과 웹서비스의 보안기술 개발에 공동으로 나서고 있다.
이들 3사는 공동개발을 통해 웹서비스를 암호화하는 새로운 보안기술을 만들고 월드와이드웹컨소시엄(W3C)이나 인터넷엔지니어링태스크포스(IETF)와 같은 국제 표준화기구에서 이를 업계 표준으로 공인받는다는 계획이다.
뉴욕타임스는 IBM 보안제품 담당 부사장인 아르빈드 크리시나의 말을 빌어 “다른 기술업체들이 우리 보안기술을 받아들임으로써 공개표준으로 자리잡게 하는 것이 목표”라고 밝혔다.
마이크로소프트와 IBM은 또한 부가적인 보안기술 개발도 병행해 내년 말까지 가시적인 성과물을 제시할 계획이다.
베리사인의 수석 개발자인 필립 할람 베이커는 “3사는 보안과 신뢰성의 향상이 뒤따르지 않으면 웹서비스는 본 궤도에 오르지 못할 것이라는 공통된 시각을 갖고 있다”고 말했다. 마이크로소프트의 플랫폼 전략담당 이사인 애덤 손도 “많은 고객들이 웹서비스의 유용성을 인정하면서도 보안성을 신뢰하지 못해 기술 도입을 꺼리고 있는 상황으로 이번 제휴가 고객기업들의 전폭적인 지지를 받을 것”이라고 말했다.
이 기술은 IBM과 마이크로소프트가 공동 개발하는 네번째 웹서비스 기술규격이다. 양사는 지난 2년간 △소프트웨어간 통신표준 프로토콜인 SOAP(Simple Object Access Protocol) △웹서비스 등록 레지스트리인 UDDI(Universal Description Discovery and Integration) △전자상거래 기술인 WSDL(Web Service Description Language) 등 웹서비스 핵심 기술 개발 방침을 잇따라 밝힌 바 있다.
◇선마이크로시스템스의 제동=마이크로소프트의 패스포트에 대항하기 위해 선마이크로시스템스는 연합형 웹서비스(Federated web service)를 위한 통합인증으로 자유연합(Liberty Alliance)을 주장하고 있다.
자유연합은 한번의 로그인 즉 ‘싱글 사인 온(Single Sign On)’으로 다양한 웹 서비스에 접속할 수 있도록 한다는 점에서는 패스포트와 마찬가지다. 자유연합이 패스포트와 다른 점은 패스포트의 경우 마이크로소프트에서 모든 사용자 정보를 관리하지만 자유연합은 각 기업이 독자적으로 사용자 정보를 분산 관리한다는 것이다.
선마이크로시스템스는 마이크로소프트의 패스포트가 인터넷 산업의 새로운 독점을 낳을 것이라고 경고한다. 패스포트를 이용하려면 웹서비스 사용자는 일단 마이크로소프트의 데이터베이스에 등록해야 한다. 선마이크로시스템스가 주장하는 패스포트의 보안 문제는 마이크로소프트 데이터베이스의 해킹 가능성이다. 물론 마이크로소프트의 데이터베이스는 매우 철저한 보안 대책이 마련돼 있겠지만 만에 하나 해킹을 당했을 경우 그 피해가 치명적이라는 것이다.
반면 자유연합은 각 기업이 스스로 사용자 정보를 관리함으로써 정보의 독점화를 막고 기업마다 자신의 주도권을 유지할 수 있다는 것이 선마이크로시스템즈의 입장이다.
◆웹서비스 3사의 통합인증 서비스
마이크로소프트 ‘패스포트’
마이크로소프트의 패스포트는 메일 주소와 암호 하나로 모든 패스포트 가맹 웹사이트에 로그인할 수 있게 해 주는 통합인증 서비스다.
마이크로소프트는 패스포트를 통해 웹사이트마다 다른 로그인 이름을 기억할 필요가 없고 온라인 구매를 더욱 빠르고 안전하게 할 수 있으며 어린이의 온라인 개인 정보를 보호하고 제어할 계획을 갖고 있기 때문에 다른 통합인증 서비스에 비해 상대적 우위를 갖는다고 밝힌다.
패스포트에 등록한 정보는 온라인에 있는 마이크로소프트의 패스포트 데이터베이스에 패스포트 프로필로 저장된다. 여기서 문제가 되는 보안 문제에 대해 마이크로소프트는 △가맹 사이트에 대한 회원의 암호 유출 방지 △산업 표준 보안 기술을 사용한 암호화 △물품 구매시 일정 시간마다 해야 하는 암호 입력 △일정 횟수 이상 로그인에 실패하면 로그온 차단 △암호화된 쿠키로 로그인 후 로그아웃할 때 강제 삭제 등을 들어 안전성을 밝히고 있다.
또 사용자의 동의가 없으면 패스포트 프로필을 다른 회사와 공유하지 않고 패스포트 서비스 가맹 업체가 사용자의 패스포트 프로필을 어떻게 사용하고 있는지 공개해야 하며 구매에 필요한 패스포트 지갑 정보는 공유하지 않는 등의 보안 대책을 마련했다.
어린이가 웹서비스를 이용할 때 가맹 사이트가 어린이의 정보를 어떻게 다룰 지를 부모에게 묻는 키즈 패스포트 서비스도 주목을 받고 있다.
◆선마이크로시스템스 ‘자유연합’
선마이크로시스템스의 통합인증인 자유연합(Liberty Alliance)은 작년 9월 26일 33개 창립 멤버로 시작한 이래 현재 3500개 이상 기업이 가입한 상태다. 아메리카항공사, 비자, 마스터카드, 유나이티드 항공사, GM, NTT도코모 등이 이를 지지하고 있다.
자유연합은 통합인증이라는 개념에서는 패스포트와 궤를 같이 하지만 각 서비스 주체가 사용자 정보를 분산 관리한다는 점에서 차이가 있다.
자유연합은 사용자 정보를 관리하고 통합인증을 가능하게 하기 위한 요소로 ‘네트워크 아이덴티티(Network Identity) 관리’를 택하고 있다. 자유연합을 구성하는 기업들은 올해 상반기 중으로 네트워크 아이덴티티 사양을 확정할 예정이다.
이에 맞춰 선마이크로시스템스는 자유연합 표준 사양을 전면적으로 지원하는 솔루션 및 제품을 내놓을 예정이다. 이미 선은 네트워크 아이덴티티를 위한 아이플래넷 디렉터리 서버(iPlanet Directory Server)를 중심으로 하는 선원 플랫폼을 발표했다.
네트워크 아이덴티티 솔루션은 기업의 가장 소중한 자산인 고객, 종업원, 파트너, 자산 그리고 부품 등의 아이덴티티를 운영하고 조절하게 한다. 선원 네트워크 아이덴티티 시스템은 확인과 인증 서비스를 설치하여 접속 시간을 줄이고 종업원 생산성을 올릴 수 있다.
선마이크로시스템스는 이러한 장점이 고객과의 접점 및 공급선 서비스에까지 확대될 수 있다. 그렇게 함으로써 서비스 기관들은 지식 기반을 늘리고, 또한 좀더 강하고 고객 지향적 관계와 서비스를 형성할 수 있다.
IBM ‘티볼리 폴리시’
IBM은 마이크로소프트와 통합인증에 관한 기술적 협력을 하면서도 개별 제품으로 들어가면 마이크로소프트와 명확한 선을 긋고 있다. 통합인증 서비스인 ‘티볼리 폴리시’를 바탕으로 이를 지원하는 제품은 폭넓게 출시하고 있다.
티볼리 폴리시는 높은 가용성과 중앙 집중식 권한 부여 서비스를 제공해 비즈니스에 핵심적인 분산 정보를 효율적으로 관리하는 데 초점을 맞추고 있다. 티볼리 폴리시의 주요 기능은 △e비즈니스 애플리케이션의 보안 정책을 중앙에서 정의 및 관리 △웹 애플리케이션의 액세스 제어 권한을 통한 권한 부여 정책의 시행 △브라우저 및 무선 액세스 프로토콜(WAP)을 사용하는 보급형 기기 등 모든 클라이언트 기기의 지원 △웹 애플리케이션을 다시 쓰거나 수정하지 않고 기존의 웹 기반 애플리케이션에 액세스하기 위해 공개 키 구조 기반(PKI)의 인증 △기존 TCP/IP 기반 클라이언트/서버 애플리케이션에 대한 액세스 제어 △웹 기반 애플리케이션에 단일 사인온 제공 등이다.
IBM은 패스포트와 티볼리 폴리시의 차이점에 대해 패스포트는 IIS 서버 취약점 등 근본적으로 많은 보안 문제를 지니고 있는데 비해 티볼리 폴리시는 인터넷과 웹서버간 SSL 기능을 통한 높은 암호화 채널을 제공한다고 주장한다.
또 패스포트를 위해서는 패스포트 API를 통해 사이트를 재구축해야 하지만 티볼리 폴리시는 현재 구축돼 웹서비스 환경을 변화시키지 않아도 되며 일괄 관리가 아닌 기업의 분산 관리라는 점을 강조한다.
<장동준기자 djjang@etnews.co.kr>