[지디넷코리아]어느 록스타는 2차 세계대전에서 전국을 좌우한 암호기 관련 영화까지 만들었다. 그런 로망도 느끼게 하는 ‘암호’는 컴퓨터 시대인 지금 비즈니스 현장을 포함해 어떻게 이용되고 있을까. 부정적인 면도 포함해 Q&A 형식으로 소개한다.

암호화? 2차 세계대전에서 독일군이 사용한 암호기 ‘이니그마(Enigma)’나 첩보 기관의 불법 행위와 관계 있는 것인가?
있다고도 할 수 있고 없다고도 할 수 있다. 암호화는 정보를 보호하기 위해서 잘 사용되는 방법이지만, 현재의 컴퓨터 시대에는 완전히 새로운 역할을 담당하고 있다.

암호화는 어떤 구조인가?
암호화는 문자나 단어를 늘어놓아 바꾸거나 뒤죽박죽하는 것으로, 바람직하지 않은 환경에서 정보를 전달할 경우에 정보를 보호할 수 있다.

옛날이라면 전장에서 군의 최고 기밀 정보를 전할 때 사용한 암호 편지도 포함될 것이다. 받는 측이 단어나 문자가 의미를 만들어내도록 늘어놓아 바꾸는 방법을 나타내는 ‘열쇠(key)’를 가지고 있는 경우만 해독할 수 있다.

군사 관계의 예로는 2차 세계대전 중에 나치의 메시지를 해독하려고 블레츨리 파크(Bletchley Park)에서 계속된 작업 등이 있다. 최근에는 당시 블레츨리 파크의 기계가 재현돼 코드 해독을 시작했다.

그렇지만 그것은 옛날의 암호화 방식이다. 디지털 시대에는 어떻게 사용되고 있는 것인가?
기본 원리는 과거 암호화 방식과 같다. 즉 메시지나 사람이나 모임의 정보를 해독하려면 키가 필요하다는 것 말이다.

암호화하는 정보 중에는 인터넷으로 보내는 신용카드 정보나 전자메일, 기업의 데이터베이스 등이 있지만, 이러한 정보가 부정한 무리에 입수되지 않도록 데이터 암호화에는 소프트웨어가 사용된다. 현재 암호화가 사용되고 있는 예로는 음악의 DRM 보호가 있다. 이것은 음악이 코드화돼 허가 받지 않은 장치에서는 재생할 수 없다.

컴퓨터 암호 시스템의 대부분은 대칭키(symmetric-key)나 공개키(public-key) 2개의 카테고리 중 하나에 속한다.

뭐가 다른 것인가?
대칭키의 암호화는 각 컴퓨터가 비밀키를 가지고 있고, 이것들을 사용해 네트워크의 다른 컴퓨터에 보내기 전에 정보를 암호화할 수 있다.

정보를 보내는 컴퓨터도 받는 측도, 주고받는 메시지를 해독하는 데는 같은 키가 필요하다.

그렇지만 공개키 암호화에서는 비밀키와 공개키를 조합해 사용한다. 비밀키는 자신의 컴퓨터만이 알고 있고, 공개키는 자신의 컴퓨터와 통신하는 모든 컴퓨터에, 자신의 컴퓨터에 의해서 주어진다.

암호화되고 있는 메시지를 해독하려면 공개키와 그 컴퓨터 고유의 비밀키를 사용해야 한다.

그렇지만 더 대규모로 공개키 암호화를 사용하려면 어떻게 해야 하나? 이미 많은 키가 있다.
좋은 지적이다. 그래서 등장한 것이 디지털 증명서다. 예를 들면 컴퓨터 2대가 웹 서버를 경유해 통신한다고 하자. 기본적으로 디지털 증명서라고 하는 것은, 인증국으로 불리는 독립한 정보원으로부터 이 웹 서버가 신뢰 받고 있는 것을 나타내는 승인표시다.

인증국은 무엇을 하나?
양쪽 모두의 컴퓨터가 신뢰할 수 있는 중개역으로서 각각의 컴퓨터의 신원을 확인하면, 각 컴퓨터의 공개키를 다른 컴퓨터에 건네준다.

그렇지만 컴퓨터의 신원이 액면 대로인가, 어떻게 하면 신뢰할 수 있는가?
인증과 암호화를 제휴하고, 이 시스템이 기능하도록 하고 있다. 컴퓨터로 유저나 정보를 인증하는 방법은 몇 가지 있으며, 패스워드나 디지털 서명 등이 사용된다. 바이오메트릭스나 음성인식기술이 사용되는 것도 있다.

비즈니스에서 암호화를 걱정해야 하는 이유는 무엇인가?
데이터 침해 통지 의무 때문이다. 미국에서는 대부분의 주에 통지 의무에 관한 법률이 있으니까, 예를 들면 고객 정보가 들어간 랩톱이나 휴대 단말을 분실하면, 당신의 데이터가 위험에 처했다고 고객에게 통지해야 한다.

그렇지만 잃어버린 기기가 암호화되고 있다면 기업은 고객에게 통지하는 법적 의무를 지지 않고, 재무적인 타격도 입지 않고 끝난다. 영국에는 현재 데이터 침해 통지 의무에 관한 법률은 없지만, 2,500만건의 아동 수당 수급자의 명세 데이터가 들어간 2매의 CD를 우송 중 분실한 영국 국세청은 암호화하지 않은 것을 후회하고 있을 것이다.

비즈니스의 현장에서 암호화를 사용하는 것은 전부터 데이터를 옮기는 가장 안전한 방법으로 생각되고 있다.

단지 패스워드로 보호하는 것보다 암호화가 안전한가?
그렇다. 문자와 숫자의 편성을 사용한 약한 패스워드는 그저 몇 초만에 해킹되지만, 확실히 암호화된 데이터를 해독하는 키를 찾아내려면 훨씬 더 시간이 걸린다. 몇 년이 걸릴 수도 있다.

중요한 것은 키의 길이다. 암호화의 키는 일련의 숫자로 되어 있고, 그 키의 길이가 메시지를 해독할 때의 어려움을 결정하는 요인이다.

암호화하는 데이터를 제대로 보호하려면 긴 키를 사용해야 하나?
기본적으로는 그렇다. 예를 들면 미국에서는 몇 년 전에 DES(Data Encryption Standard)라고 하는 키의 사이즈가 56비트의 암호를 공식의 암호화 표준으로 사용하는 것을 그만두고, 길이가 더 긴 AES(Advanced Encryption Standard)를 채용하게 됐다.

암호화의 단점은?
암호화를 사용하는 것은 양식 있는 사람만은 아니다. 어느 사이버 범죄 팀은, 이른바 ‘랜섬웨어형의 트로이 목마(ransomware Trojans)’로 암호화를 사용하고 있다. 이것은 PC를 감염시켜 데이터를 암호화한 뒤 피해자에게 데이터에 다시 액세스하기 위한 해독용의 키를 갖고 싶으면 돈을 지불하라는 경고를 표시한다.

암호화는 보급되어 있는가?
바이러스 대책 소프트웨어나 방화벽이 지금은 당연시되듯이 암호화도 그렇게 될 것이다. 대기업부터 중소기업, 일반소비자에 이르기까지 모든 사람이 이용하게 된다고 주장하는 사람들도 있다. @