공인인증서

Accredited Certificate; 공인인증서
구 「전자서명법」에 따라 정부가 지정한 공인인증기관이 발급한 전자서명용 인증서. 2020년 12월 10일 개정 전자서명법 시행으로 '공인' 지위가 폐지되어, 지금은 공동인증서 등 여러 인증서 중 하나가 되었다

공인인증서에 포함되어야 할 사항

공인인증서의 기술 자체(PKI 전자서명)보다 제도와 구현 방식이 문제가 되었다.

구분	원인	문제
플러그인 의존	인증서 처리를 ActiveX 같은 브라우저 플러그인으로 구현했다	특정 브라우저·운영체제에서만 동작(웹 표준 위반), 키보드 보안·방화벽 등 보안 프로그램의 강제 설치, 플러그인 자체가 공격 통로가 됨
저장 방식	개인키를 PC 하드디스크나 USB 의 정해진 폴더(NPKI)에 파일로 저장했다	악성코드가 인증서 파일과 비밀번호를 함께 빼내 복제·도용하는 사고가 반복됨
법적 독점	법이 공인인증서에만 서명 효력을 추정하고 금융 규정이 사용을 사실상 강제했다	다른 인증 기술이 시장에 들어오지 못해 기술 혁신과 경쟁이 막힘
사용 불편	1년마다 갱신, 기기를 바꿀 때마다 복사, 복잡한 비밀번호	이용자 불만, 모바일 환경과 맞지 않음
대외 장벽	국내 공인인증서와 플러그인이 있어야 결제할 수 있었다	해외 이용자가 국내 온라인 쇼핑몰에서 결제하지 못하는 문제(2014년 이른바 '천송이 코트' 논란)
책임 문제	정해진 보안 수단만 쓰면 된다는 규제 중심 체계	금융회사가 보안 혁신보다 형식적 준수에 머물고, 사고 책임이 이용자에게 넘어가기 쉬움

2014년: 30만 원 이상 온라인 카드 결제의 공인인증서 의무 사용 폐지
2015년 3월: 전자금융거래 시 공인인증서 사용 의무 폐지(전자금융감독규정 개정)
2020년 12월 10일: 전자서명법 전부개정 시행. 공인인증서·공인인증기관 제도 폐지, 모든 전자서명에 대해 효력이 동등해지고 전자서명인증업무 평가·인정 제도로 전환. 기존 공인인증서는 공동인증서로 이름이 바뀌어 계속 쓰인다

FIDO 기반 생체·간편 인증: 지문·얼굴 같은 생체정보나 PIN 으로 기기 안에서 인증하고, 서버에는 인증 결과와 공개키만 보낸다. 생체정보와 개인키가 기기 밖으로 나가지 않는다
안전한 키 저장: 개인키를 파일 대신 스마트폰의 보안 영역(TEE·eSE), 유심(USIM), 보안 토큰, HSM 기반 클라우드 보관소에 둔다. 복제가 어렵다
웹 표준 구현: 플러그인 없이 HTML5 와 브라우저 내장 암호 기능(Web Crypto API)으로 서명한다 → HTML5
추가 인증 수단: OTP, 휴대전화 본인 확인, 2채널 인증을 거래 위험도에 따라 섞는다
분산 ID(DID): 블록체인에 신원 증명 정보를 두고 이용자가 직접 제출하는 자기주권 신원 증명
FDS: 인증 단계만 막는 대신 거래 패턴을 분석해 도용 거래를 사후에라도 차단한다