[지디넷코리아]온라인상에서 등록되는 개인정보에 접근할 수 있는 사람이 누구인지 확실하게 제어할 수 있는 방법은 아직 없다.

나는 개인 정보, 그리고 보안에 대한 권리를 포함해 모든 개인의 자유가 보장돼야 한다고 믿고 있다. 이런저런 이유로 본인은 직접 제어할 수 없거나 이해할 수 없는 기술은 그 어떤 것도 사용하지 않는다.

서비스를 이용하기 전에 필자에게 개인 정보, 즉 신용 카드 정보와 같은 것들을 등록하길 요구하는 인터넷 상거래 사이트들 또한 이 부류에 속한다. 미루어 짐작할 수 있겠지만 나는 이런 이유로 인터넷에서 가장 유명한 곳 중 하나인 이베이를 사용하지 않고 있다.

이베이의 문제는 다른 게 아니다. 바로 개인 정보를 사용자가 안전하게 지켜야 한다고 말하는 것을 당연시 여긴다는 점이다. 혹시라도 본인에게 비난을 던지진 말기 바란다. 이런 점에서 내가 소수자에 속한다는 사실을 인지하고 있다. 여러분이 속한 조직에도 상당수 존재하지만 많은 사람들은 이베이를 포함해 많은 웹사이트가 개인 정보를 안전하게 지켜줄 거라고 100% 믿고 있다.

그러나 100% 완벽한 보안은 존재하지 않는다. 온라인 금융 서비스 업체이자 이베이의 자회사인 페이팔(PayPal)은 지난 달 서비스 결함으로 인터넷에 이메일 주소가 노출될 수 있다고 경고한 바 있다. 페이팔에 따르면 이 결함은 페이팔의 하청업체가 야기한 문제로 온라인 입력 폼에서 보안이 적절하게 구축되지 못했기 때문이다.

바로 이런 점들 때문에 개인 정보를 등록하지 않으려는 것이다. 사용자들은 아직도 개인 데이터에 접근할 수 있는 사람이 누구인지 확실하게 단정짓지 못한다.

그러나 이베이가 최근 사용자 보안을 고려해 현명한 결정을 내린 점에는 경의를 표한다. 이베이는 지난 달 MS 패스포트 사용을 중단할 거라고 고객들에게 공지했다. 패스포트는 MS가 자체적으로 밀고 있는 신원 확인 관리 서비스이다.

나는 지난 2001년부터 계란을 한 바구니에 담으면 안된다는 속담을 예로 들며 SSO 기술이 위험하다는 사실을 줄곧 사용자들에게 경고해왔다. SSO를 지지하는 사람들이야 이 기술이 “사용자가 직접 조정하는” 것들이라고 현혹하고 있지만 SSO 뿐 아니라 개인 정보 제어권을 포기하도록 요구하는 기술은 모두 위험하다는 사실을 잊어선 안된다.

본인 생각에는 직접 통제할 수 없는 상황에서 개인 정보와 사용자 행동을 수집, 저장, 추적하도록 설계된 기술은 개인 정보 침해와 보안 문제 양쪽 모두 위법성이 있다. 정보와 신원 사항 도난 사건이 꼬리를 물고 일어나고 있는데도 개인 정보를 한 군데에 저장해놓고 알지도 못하는 제삼자가 안전하게 지켜줄 거라고 기대한다는 건 말도 안된다. 인터넷에 연결된 곳이든 그렇지 않은 곳이든 상관없이 말이다.

물론 MS의 패스포트만이 유일한 SSO 서비스는 아니다. 패스포트가 세상에 나온 후 얼마 되지 않아 리버티 얼라이언스 프로젝트가 SSO 기술에 대한 대안 표준으로 거론된 바 있다.

아마 독자들 중에서는 리버티 얼라이언스 프로젝트가 MS 기술이 아니니 본인이 더 선호할 것이라고 생각할지도 모르겠다. 이 프로젝트에 대한 내 입장은 “그렇지 않다”이다. 리버티 얼라이언스 프로젝트의 SSO 기술이 오픈소스 표준이기 때문에 패스포트보다 좋아질 리는 없다.

누가 제안하든 상관없이 아닌 것은 아닌 거다. 사용자든 웹사이트 운영자든 통제할 수 없는 시스템에 있는 여러 웹사이트에서 정보를 보호한답시고 사용자 이름과 암호를 단 하나만 갖도록 한다는 것은 “사용자 친화적”이라는 기능성을 따질 가치조차 없는, 극도로 위험천만한 일이다.

SSO를 지지하는 사람들이 인터넷 사용자들에게 이득이 있다고 부르짖으며 허울좋은 보안 개선을 떠들고 있어도 나는 지난 3~4년 동안 이 입장을 고수해왔으며 지금도 변함이 없다. 하지만 위험요소가 있음에도 불구하고 사설 네트워크나 기업 내부처럼 SSO 기술이 당연하게 사용되는 영역은 분명 존재하고 있다.

그러나 사용자의 행동과 취향이 개인적인 문제로 남아있어야만 하는 공개된 인터넷상에서 SSO 기술은 맞지 않는다. 이 생각은 그다지 쉽게 바뀌지 않을 것이다. @