[지디넷코리아]일개 사설 보안 업체인 이니텍과 소프트포럼은 KISA만 등록돼 있어야 할 최상위인증기관에 왜 자신들을 등록해 놨을까.

이니텍의 경우 신한은행, 하나은행, SC제일은행, 농협, 씨티은행 등의 금융기관에 클라이언트 SW를 배포하고 있고, 소프트포럼의 경우 국민은행 등 10개 주요 시중 은행, 22개 증권사, 삼성카드 등 100여개 금융권 고객, 정보통신부 등 공공 정부기관, 기타 주요 전자 상거래업체 등 500여개 등의 금융기관과 증권사의 클라이언트 SW를 배포하고 있다.

국내 대표적 시중은행인 국민은행과 신한은행의 예를 들어보자.

▲국민은행 공인인증서

국민은행 공인인증서의 경우 법률상 KISA만 존재해야할 최상위인증기관에 소프트포럼 뿐만 아니라, 한빛은행, KTF 등 존재해서는 안될 인증기관들이 최상위인증기관에 등록돼 자신들이 신뢰하다며 자신 스스로를 인증하고 있다.


---> 국민은행 공인인증서는 소프트포럼 뿐만 아니라 KTF, 우리은행 등이 최상위인증기관으로 등록돼 있다. (소프트포럼 인증 유효기간은 2033년까지)

▲신한은행 공인인증서

신한은행 공인인증서의 경우 법률상 KISA만 존재해야할 최상위인증기관에 이니텍이 들어가 있다. 인증서 보기를 누르니 인증을 받아야 할 대상인 발급 대상이 이니텍 CA 어드민이고 이를 인증해 주는 기관인 발급자 역시 이니텍 CA 어드민이다.

즉, 이것은 사설 기업인 이니텍이 최상위인증기관으로 등록돼 있고 자신들이 발급한 인증서를 자신들이 유효하다고 인증하고 있다.



---> 한국정보보호진흥원(KISA)만 등록돼 있어야할 최상위인증기관에 이니텍이 등록돼 있다. (유효기간은 2025년까지)

이니텍, 소프트포럼「그들이 왜 최상위인증기관으로 둔갑했나」
"최상위 인증기관"이라는 존재는 더 이상의 인증을 요구할 필요가 없는 존재다. 마치 우리가 일상생활에서 사용하는 "현금"과 같은 존재. 국가가 그 가치에 대해 보증을 하고 있기 때문에 다른 어음이나 수표처럼 굳이 배서를 한다든가, 연대보증을 선다든가, 그 어음/수표의 지불능력을 입증하려 애를 쓸 필요가 없는 것이다.

따라서 "최상위 인증기관"으로 일단 클라이언트에 등록되면 자기 자신의 인증을 확인하기 위해 또 다른 프로세스를 만들 필요가 없어지므로 개발 과정상 편리해지고 설치한 서버에 대한 유지보수 역시 편해질 수 있다는 장점이 있다는 것이 보안 전문가들의 분석이다.

이러한 지적에 대해 이니텍은 내부적으로 아직 대답할 수 있는 상황이 아니라고 전했고, 소프트포럼은 무응답으로 일관했다. @