보안컨설팅사업부 황재성 컨설턴트

지난 6일 폐막한 ITU-T SG17 회의에서 한국의 분산원장기술 보안 표준 연구과제를 신설하는 것이 합의되었고, 연구과제의 책임자급인 라포처(Rapporteur)에 한국 오경희 대표가 임명되었다. 이번 회의에서는 분장원장기술을 이용한 전자지불 서비스의 보안 요구사항 등 총 7건의 신규 표준화 작업 아이템을 발굴하였고, 한국은 그 가운데 ⑴분장원장기술을 활용한 온라인투표에 관한 보안위협, ⑵분산원장기술을 이용한 전자지불서비스 보안위협 및 요구사항 ⑶분산원장기술을 위한 보안 보증 등 총 3건의 표준화 작업을 수임하였다. 이러한 성과는 분산원장기술의 보안표준 개발 주도권을 확보하고, 정보보호 분야의 국제표준화 선두주자로서의 발판을 마련하였다고 평가된다. 

ITU-T SG171): 국제전기통합연합 전기통신표준화 부문 UN산하 연구반으로 정보통신, 정보보호 등 관련 서비스 분야 표준 제정

라포처(Rapporteur)2): 연구과제 책임자급

1. 분장원장기술은  무엇인가?

1) 정의

분산원장기술은 DLT(Distributed Ledger Technology)의 번역으로, 블록체인을 핵심 기술로 사용한다. 블록체인은 또 다른 말로 ‘공공 거래장부’ 라고 불린다. 거래장부는 은행이 고객의 돈을 관리할 때 해당 거래내역의 정당성을 확인하기 위해 사용된다. 이러한 거래장부가 분산원장기술로 대체될 경우 은행과 같은 관리 주체의 필요성이 없어지며, P2P 네트워크에 접속해 있는 사용자들 간엔 동일한 거래장부 사본을 주고받기 때문에 거래장부에 대한 위조방지가 가능해진다. 현재 가상화폐로써 거래되는 비트코인 또한 블록체인 기반의 거래장부를 거래기록 용도로 활용한 애플리케이션이다.

[그림 1] 블록체인 기반 분산원장 관리 시스템 구성도

2) 원리 

은행이나 중앙 서버가 없다면 내가 수표를 발행할 잔액이 있는지 어떻게 확인할 수 있을까? 그것은 과거의 모든 수표 거래내역을 담고 있는 블록체인을 통해 가능하다. A가 B로 수표를 전달할 때 먼저, 블록체인에 있는 이전의 거래기록들을 살피고 잔액이 남아있는지를 따져본다. 즉, 수표를 발행할 자격이 있는지를 판단하는 것이다. 내가 거래에 참여하고 싶다면 이전에 누군가에게 수표를 받았다든지, 채굴(Mining)을 통해 자동으로 발행된 비트코인을 소유해야만, 보유한 잔액을 이용한 거래 진행이 가능하다. 단, 채굴로 발행된 비트코인은 지급받은 본인만 사용할 수 있다. 

[그림 2] 블록체인 기반 거래절차

그렇다면 블록체인 방식이 어떻게 위조를 방지할 수 있을까? 첫 번째 방법은 데이터 생성 자체를 어렵게 하는 것이다. 비트코인에서는 블록을 생성할 때 하나의 수표만 저장하지 않고 여러 개의 수표를 모아 하나의 블록으로 생성하며, 해당 블록을 링크드 리스트로 묶어서 저장한다. 이때 블록을 생성하기 위해서는 hashcash라는 문제를 풀어야 하는데, 높은 난이도로 인해 정답을 구하는 것이 사실상 불가능하다. 그래서 hashcash 난이도를 완화하였고, 특정한 조건을 제시하여 P2P 네트워크에 참여한 인원들의 PC성능을 기준으로 대략 10분이면 문제가 해결 되도록 설정되었다. 

[그림 3] 링크드 리스트로 묶이는 블록체인 구조 (출처 : bitcoin-facharbit)

그렇다면 Hashcash는 무엇일까? Hashcash는 해시함수 연산의 결과값인 해시값을 찾는 것을 의미한다. 예를 들어, 단방향함수인 해시함수(SHA-256 해시 알고리즘)를 통해 기존 데이터값에 대한 해시값을 구하면 256비트의 값을 얻는다. 해시함수의 특징은 데이터값을 입력하여 해시값을 구할 순 있지만, 역으로 데이터 값을 찾는 것이 이론적으로 어렵다. 왜냐하면 2256  개의 데이터를 하나씩 입력하여 데이터를 찾는 계산작업이 현대 컴퓨터로는 불가능하기 때문이다. 따라서, 블록 생성을 위한 hashcash 문제의 해결이 가능하도록 몇 개 이상의 0으로 시작하는 해시값을 찾는 특정한 조건을 적용시킨다.

[그림 4] 임의의 Nonce숫자에 따른 해시값 (출처 : 비트코인과 블록체인 기술 - 이종권)

위 그림은 hello world 문자열에 임의의 숫자인 Nonce 를 입력하여 SHA-256의 해시값을 구한 것이다. 이 해시값을 기반으로 문제를 해결하기 위해서는 Nonce 숫자가 ‘1’과 ‘4’인 해시값의 결과처럼 시작 값이 0인 값을 확인하며 조건에 맞는 경우를 찾으면 된다. 0의 개수가 하나씩 증가할 때마다 확률적으로 16배씩 Nonce 숫자를 대입해야 하고, 0의 개수가 5개인 해시값을 구하기 위해서는 약 백만 개의 Nonce 숫자를 입력해야 하기 때문에 특정한 조건의 값이 커질수록 데이터값을 찾는 것이 어려워진다. 

그러나 충분한 시간과 뛰어난 컴퓨터의 성능을 가정할 때, 위조 가능성이 충분히 존재할 수 있기 때문에 더 확실한 위조방지 기술이 필요했고, 두 번째 방법인 블록생성시 이전 블록의 해시값을 참조하는 방식으로 보완된다. 만약에, N개의 블록이 존재하는 블록체인의 ‘Block 0’의 값을 해커가 위조해서 해시값이 수정됐다면, ‘Block 0’의 해시값을 참조하는 N개 블록 전체 해시값의 검증과 변경이 필요하고, N개의 블록이후에 N+1, N+2, 〮〮〮 , N+N 처럼 새롭게 생성되는 블록의 검사도 필요하다. 따라서, 막대한 계산시간의 증가를 통해 위조를 방지한다.      

[그림 5] 이전 해시값을 참조하는 블록체인 구조 (자료 : 비트코인의 기반 기술 블록체인의 원리- 김석원)

마지막, 세 번째는 비슷한 시점에 생성된 두 개의 블록이 있거나 위조된 블록이 있을 경우, 새롭게 생성된 블록 중 어느 블록체인을 신뢰해야 하는지 선택할 때 가장 길이가 긴 블록체인을 원본으로 받아들이는 원칙을 적용해서 위조를 막는다. 예를 들어, 두 개의 블록이 동시에 생성되었다면 두 갈래로 새로운 블록들이 각각 연결될 것이고, 참여자가 더 많은 갈래의 블록체인에 더 빠르게 체인을 형성할 것이다. 왜냐하면, 참여자가 많을수록 hashcash에 대한 계산속도가 빠르고, 많은 인원에 의해 검증되기 때문이다. 이렇게 세 가지 위조방지 방식을 통해 블록체인은 데이터를 보호하고 있으며, 추가적으로 사용자 인증에 대한 비대칭키 방식을 이용하거나 인증보안기술을 적용하여 공격자의 접근을 막는다.

2. 다양한 산업에서의 적용사례

1) 금융

국내 증권업계에서도 공동 블록체인 서비스 개시를 준비중이다. 서비스가 개시되면 사용자들은 금융기관의 공인인증서를 발급받거나 등록하는 절차 없이 공동 인증서만 받으면 모든 증권사에 인증이 완료된다. 블록체인 도입과 관련하여 시스템 부문의 보완과 개인 신용정보 관련법 등 6개 법령 개정에 대해 논의 중이며, 관련 보완사항에 대한 검토가 완료되는 10월경 서비스가 개시될 예정이다. 또한, 일본 증권업계에서는 블록체인 기반의 KYC(Know-Your-Customer)를 활용한 공동 인증 서비스 시범사업이 실시된다. 금융서비스 업체인 SBI 홀딩스, SBI BITS, 기술 업체인 NEC 등 3사가 주축이 되어 14개 금융기관이 이번 시범사업에 참여하며 KYC 정보를 공유하기 위한 응용 프로그램을 개발하게 된다고 한다. 아래 그림은 일본에서 실시할 블록체인 기반의 KYC 정보 공유방식에 대한 그림이다. 

[그림 6] 일본 증권업계 블록체인 기반 공동인증 시범사업 KYC(Know-Your-Customer)

2) IoT

작년 8월 라스베이거스에서 진행된 데프콘에서는 IoT 기반의 온도 조절기를 해킹해서 온도를 최대치로 고정한 후 비트코인을 요구하는 랜섬웨어가 만들어졌다. 이러한 위험성에 대비하여 스타트업 기업인 Ubirch는 블록체인기술을 IoT 보안에 적용하였다. 대표적인 기술로 랜섬웨어 해킹을 원천적으로 차단하는 보안 방식을 개발하였다. 방식은 비트코인이 거래될 때 40Byte 정도의 데이터를 거래 내역에 포함할 수 있다는 사실을 착안하여 거래 내역에 사물 인터넷에서 나오는 센서값들을 저장하였다. 이처럼 IoT와 블록체인의 결합을 통해 사물인터넷 데이터의 보안 취약성을 원천적으로 차단한 것이다. 

[그림 7] MWC2017에서 시연한 IoT 데이터 기록영상 

3) 해운산업

2017년 3월 머스크 그룹은 IBM과 함께 글로벌 무역·물류에 블록체인 기술을 활용하는 프로젝트를 착수하였다. 전체 컨테이너의 이동 경로를 추적하는 ‘하이퍼렛저(Hyper-ledger)프로젝트’가 바로 그것이다. 이 프로젝트의 기대효과는 적은 비용과 빠른 속도를 이용하여 관련 컨테이너 및 화물의 이동 경로의 추적이 실시간으로 가능해진다는 점이다. 또한, 가시성이 향상되고 위〮변조, 사기거래의 방지에 따른 행정비용 절감과 종이없는(Paperless) 운송거래도 기대될 전망이다. 국내 해운업계에서도 5월 31일 삼성 SDS의 주도로 ‘해운물류 블록체인 컨소시엄’을 발족했으며, 이번 컨소시엄으로 국내 물류 산업발전에 대한 큰 기대감을 표출하고 있다.

[그림 8] 블록체인 기반 해운산업의 구조

4) 분산형 인터넷

벤처 캐피탈리스트 Albert Wenger는 현재 웹 시장에서는 아마존, 구글, 페이스북 등이 확고한 자리를 잡고 있기 때문에 새로운 형태의 웹 인프라가 아니면 기존 시장에 진입하기가 어렵다고 생각함에 따라 스타트업 기업인 Blockstack에 400만 달러를 투자하였다. Blockstack은 기존의 웹 형태를 기반으로 사용자가 개인정보를 보다 쉽고 명확하게 관리할 수 있도록 오픈소스 소프트웨어를 개발하고 있다. 해당 소프트웨어를 이용하면 계정을 만들 필요 없이 로그인이 가능하며, 기업이 개인정보를 관리하는 것이 아니라 개인이 직접 로그인 정보를 관리하게 된다. 프로필에 대한 접근 권한도 사용자가 직접 차단할 수 있게 된다. Blockstack은 블록체인 기술을 활용하여 개인의 거래 내역이 아닌 로그인 계정 정보를 모든 사용자가 컴퓨터에 보관하고, 중앙서버 없이 관리가 가능하다. 또한 도메인명도 블록체인 내에 저장 가능하며, 그 결과로 ICANN(국제 도메인 관리 기구)과 같은 웹 도메인 관리 기구의 필요성이 없어지게 된다. 그러나, 트랜잭션 처리 속도에 대한 문제나 도메인명에 대한 저작권 관리의 어려움이 존재하기 때문에 이러한 문제점에 대한 지속적인 논의가 필요하다.

3. ITU-T SG17 분산원장기술 보안표준화 전망

스위스 제네바에서 열린 정보보호 표준화를 추진하는 ITU-T SG17 국제회의는 2017년 8월 29일부터 9월 6일까지 개최됐다. 총 30개국 27개 부문 회원 등 135명의 참가자가 회의에 참석했으며, 국내 대표단은 수석대표인 염흥열 교수(순천향대) 외 23명의 인원이 참석했다. 대표단은 각각의 분야에 대한 기고문(20건)을 제출하였고, 그 중 앞서 설명한 분산원장기술 보안 표준 연구과제에 대한 3건의 기고문이 승인되었다. 이 3건에 대한 표준화 전망에 대해 간단히 소개하고자 한다.

1) 분산원장기술을 활용한 온라인 투표에 관한 보안 위협식별 및 정의

분산원장기술 방식의 온라인 투표는 여러 나라에서 비금융서비스와 관련된 DLT 기술 사용의 성공적인 사례 중 하나이다. 최근 덴마크, 에스토니아, 대한민국, 스페인, 우크라이나, 미국 등 많은 국가에서 Technology/ICT 인프라를 기반으로 DLT 기술을 사용하여 온라인 투표를 진행하였는데, DLT를 활용한 온라인 투표 프로세스에는 잠재적인 보안 위협이 존재한다. 따라서 보안 위협에 대한 분석이 필요하며 이에 따른 대응책과 지침들이 확립될 것이라고 전망하고 있다.

위의 그림은 DLT 기반의 온라인 투표방식을 예시로 나타낸 도식도이다. 해당 도식도에서의 DLT 기술은 투표정보를 블록으로 생성하여 정보를 저장하는 데 사용되며, 이 방식은 전자투표로 야기되는 정보 노출 방지에 대한 기밀성과 정보 변조에 대한 무결성을 높여준다. 하지만 추가적인 보안 위협은 여전히 존재 가능하다. 예를 들어 전송 중 유권자의 개인 식별 정보(PII) 노출, 투표 정보 및 감사 로그의 공개에 따른 위험, 데이터베이스의 유권자 목록이 공개될 경우의 위협 등 모든 상황에 대한 용어 정의가 표준화될 예정이다. 향후 계획은 2020년 3월까지 주요 국가의 DLT 관련 전문가들과 협의를 통해 실무적인 온라인투표 서비스 모델을 도출하고, 그에 따른 잠재적인 위협이 식별 및 정의될 것이다.

2) 분산원장기술에 기초한 디지털 지불서비스에 대한 보안 위협 및 요구사항 신규 표준 채택

ITU-T SG17 국제회의에서 승인된 기고문은 분산원장기술에 기반한 다양한 금융서비스 중 가장 큰 영향을 미치는 지불서비스의 보안 위협 및 요구사항에 대한 표준안을 제시한다. 또한, 응용 프로그램에 대한 일반적인 이해를 돕기 위한 사례와 용어를 제시하고 있다. 사용사례(Use case) 분석을 기반하여 서비스 모델을 설명하고 보안 위협 및 문제점을 분석한다. 위협 및 문제점에 대한 요구사항은 각각 보안 아키텍처인 X.805 관점에서 제공된다. 향후 국내 금융보안원은 금융보안표준화협의회 활동을 통해 표준 내용을 정의해나갈 계획이며, 표준화 작업(2020년 3월)까지 지속적인 기고 및 대응을 할 예정이다.

3) 분산원장기술 보안 보증 국제 표준화 추진

2016년 10월 23일 스위스 제네바에서 개최된 ITU-T SG17(정보보호) 국제 표준화 회의에서 ‘X.805 보안 영역의 구현을 위한 기술적 보안 대책’이라는 주제가 국제표준으로 사전 채택되었다. 그리고 약 4주간 국가별 의견수렴을 거쳐 ITU-T X.1039 국제표준으로 최종 채택되었다. ‘X.805 보안영역의 구현을 위한 기술적 보안 대책’의 핵심내용은 중소기업을 포함한 기업의 정보보호 수준을 개선하기 위해 미래창조과학부가 2014년부터 시행한 ‘정보보호 준비도 평가’ 기준을 반영한 것이다. 여기에는 접근통제, 인증, 기밀성, 통신 보안, 데이터 무결성, 가용성, 프라이버시 등의 보안 영역에서 다양한 기술적 보안 대책을 제시했고, 설정관리, 악성코드 대응, 취약점 관리, 침해사고 대응, 시스템 개발 보안, 데이터 유출방지, 운영보안, 백업관리, 모바일 보안 등의 추가적인 기술적 대책도 포함한다. 이와 함께 정보보호 정책, 조직 구성, 자산 관리, 물리 및 환경 보안, 공급자 체인 보안 등의 조직적 관리 대책까지 포함하고 있다. 그리고, 한국 정보 보호 준비도 등급 할당 기준과 등급 예를 부속서로 반영한 바 있다. 

1년이 지난 2017년 ITU-T SG17 국제 표준화 회의에서는 ‘분산원장기술 보안 보증 국제 표준화 추진＇기고문을 제시하여 DLT 기술의 보안 보증 가이드를 제공하고 있다. 이 가이드는 데이터 통합, 기밀성 보안 통신, 자격 증명 관리, 데이터 무결성 지원을 위한 작업 증명과 암호화를 지원하는 기밀성 차원에 초점을 두고 있으며, DLT를 위한 보안 보증 레벨을 3단계(LoSA)로 정의하고 있다. 또한, 보안 위협을 줄이는데 사용할 제어 기술에 대한 지침도 제공되고 있다. 아래 표는 DLT의 3단계 보안 보증인 LoSA에 대한 설명이다. LoSA1에서 LoSA3까지 단계가 올라갈수록 보안 보증에 대한 인증과정이 향상된다. 

4. 향후전망

분산원장기술은 복잡한 금융서비스 및 계정관리의 보안, 효율성 및 속도, 처리량의 향상을 목적으로 지속 개발되어왔고, 해당 기술을 인정받아서 이제는 다양한 산업 분야에서도 적용되고 있는 추세이다. 하지만, 아직 법적인 규제가 미비하고, 가상화폐의 익명성으로 악용되는 사례가 빈번히 발생하고 있다. 또한, 최근 해커들은 가상화폐의 위·변조가 어렵기 때문에, 가상화폐거래소를 해킹하여 사용자들이 모르는 주소로 송금시키는 해킹수법을 사용하고 있다. 이에 대한 준비 및 대응을 위해서 이제는 금융시장의 다변화와 다양한 산업 분야에 적용될 블록체인 기술에 대한 용어 정의 및 각 산업 분야에 대한 보안 위협 정의가 절실히 필요한 시점이다. 

이러한 필요성을 바탕으로 이번 정보보호 국제 표준은 두 가지 측면에서 큰 의미가 있다. 첫 번째는 정보보호 제품이나 서비스의 상호 운용성을 보장하여 국제적인 경쟁력과 무역장벽을 해소할 수 있다. 두 번째는 국내 정보보호 산업의 기반을 강화하여 국가 경쟁력 확보를 마련할 수 있다. 과학기술정보통신부는 정보보호 산업의 해외 진출을 적극적으로 장려하고 있기 때문에 국제표준을 바탕으로 진출하는 국내 정보보호 기업은 외국기업보다 상대적 경쟁우위를 차지할 수 있을 것으로 예상한다. 앞으로 정보보호 업계에서는 자신의 기술과 노하우를 국제 표준에 반영하여, 제품과 서비스 경쟁력을 선도적으로 확보함으로써 시장의 주도권을 가져갈 것이라고 기대한다.

5. 참고 자료

[1] http://d2.naver.com/helloworld/8237898  비트코인과 블록체인의 기술

[2] http://biz.newdaily.co.kr/news/article.html?no=10137417 한국 증권업계

[3] https://theblockchain.kr/article-502 일본 증권업계

[4] 블록체인 기술동향과 시사점 – 과학기술정책연구원 이제영

[5] http://www.ciokorea.com/news/32729 의료업계 IBM 왓슨 블록체인

[6] http://etinow.me/188 Ubirch 사물인터넷 블록체인 보안

[7] KMI 동향분석 VOL.26

[8] https://theblockchain.kr/article-188 삼성 SDS주도 해운 물류 블록체인 컨소시엄 발족

[9] http://etinow.me/153 Blockstack 웹 인증 소프트웨어 개발 

[10] 분산원장기술과 디지털통화의 현황 및 시사점

[11] 비트코인의 기반 기술 블록체인의 원리(김석원)

[12] 한국ITU SG 17(정보보호분야) – ITU-U SG17 2017 8월 국제회의 결과보고서

[13] 한국ITU SG 17(정보보호분야} – ITU-U SG17 1~3차 회의록 참고

[14] http://www.newstown.co.kr/news/articleView.html?idxno=266661 ITU-T X.1039 국제표준 최종 채택

[15] https://www.hauri.co.kr/information/news_view.html?intSeq=10691&page=1 분산원장기술의 국제표 준에 따른 국내 정보보호 산업 전망