전자서명에 대하여

[김철민]

FLW600-11335-72240-33333
전자서명에 대하여

제 1 장 전자서명 및 인증기관의 개요

제 1 절 기술적 개요

전자서명은 수기서명(manual)의 전자적인 대체물로서 펜 대신에 컴퓨터를 매개로 하여 생성되는 정보라 간단히 설명되어질 수 있다. 여기서 ‘컴퓨터를 매개로’ 의 의미는 기술적으로 전송하고자 하는 전자문서의 메시지요약(message digest)을 만든 후, 이를 송신자의 전자서명생성키(비밀키)를 이용하여 암호화한다는 것을 의미한다.
기존에 전자서명의 정의에 대한 논의는 전자서명을 크게 electronic signature, secure electronic signature 및 digital signature로 구분하고 있는데, 본 보고서에서는 신원확인 및 무결성 보장의 측면에서 현재까지의 기술 중 가장 안전하고 신뢰할 말한다고 평가받는 방법으로 수기서명의 기능을 대체할 뿐 아니라 보다 다양한 기능을 제공한다고 알려지고 있는 공개키 방식의 digital signature를 전자서명으로 간주하고 논의를 진행한다.

1. 전자서명의 절차

o 전자서명의 생성

전자서명을 사용하기 위해 첫 번째 단계로 사용자는 공개키와 비밀키 쌍을 생성하여야 한다. 키의 생성은 자신이 가입한 인증기관에서 사용하는 공개키 알고리즘 중의 하나에 따르거나 특정한 알고리즘에 따라서 사용자가 직접 생성한다. 두 번째의 단계는 사용자가 보낼 전자문서의 메시지 요약(message digest)을 생성하는 단계이다. 세 번째 단계는 메시지 요약을 송신자의 전자서명 생성키로 서명하여 전자서명을 생성하는 단계이다. 네 번째 단계는 생성된 원래의 메시지에 더하여 수신자에게 전송하는 단계이다.

o 전자서명의 확인

첫 번째 단계로 전자서명된 메시지(메시지와 그의 전자서명값)를 수신자가 받으면, 수신자의 컴퓨터에서 송신자의 전자서명검증키를 이용하여 송신자의 메시지 요약을 복원한다. 만일 메시지 요약이 복원되지 않으면 송신자의 전자서명 검증키가 진정한 것이 아니므로 송신자의 신원확인에 실패한 것이 되고, 전자서명의 복호화(확인)가 가능하면, 송신자가 일치함을 확인(송신지의 신원확인)한다. 다음으로 수신된 메시지의 메시지요약을 만들어 이미 복원한 메시지 요약과 비교하여, 양자가 일치하면, 메시지가 바뀌지 않았음을 확인(메시지의 무결성 확인)한다.

2. 인증절차

인증은 기술적으로는 어떠한 사람의 전자서명검증키가 그 사람의 것임을 신뢰받는(trusted) 제3자의 기관이 증명해 주는 것을 의미한다. 인증을 받기 위해서, 사용자는 먼저 자신의 전자서명생성키(비밀키) 및 전자서명검증키(공개키)를 생성한다. 두 번째 단계로 사용자는 인증기관을 방문하여 자신의 신원을 증명하고, 전자서명검증키(공개키)를 제시하며, 전자서명검증키에 대응한 전자서명생성키(비밀키)를 소유하고 있는 사실을 제시한다. 세 번째 단계로 인증기관은 전자서명검증키(공개키)와 그 키에 대응하는 사람의 신원을 확인한 경우, 신원이 확인되면 인증서(certificate)를 발행한다. 여기서 인증서란 공개키와 신원이 증명된 사람과의 관계를 증명하는 전자적인 기록으로, 인증서에는 인증기관, 가입자, 가입자의 전자서명검증키 등의 정보를 포함하고, 인증기관의 서명을 붙이는 것이 보통이다. 네 번째 단계로 인증기관은 가입자에게 인증서의 내용을 확인시키고, 인증기관은 인증관리체계를 통해 인증서를 모든사람에게 접근 가능한 형태로 유지한다. 여기서 인증기관이 관리하는 인증관리체계에는 취소 또는 정지된 인증서의 목록이 포함되어야 한다.
인증기관에서 인증서를 발급 받으면 그 인증서를 메시지와 메시지의 전자서명에 첨부하여 송신하게 된다. 이때 수신자는 먼저 인증서를 인증기관의 전자서명검증키(공개키)를 이용하여 풀어서 송신자의 전자서명검증키를 얻고, 이 인증서가 인증취소목록에 포함되어 있는지의 여부를 확인한 후, 그렇지 않은 경우 송신자의 검증키를 이용하여 메시지 요약을 생성한다.


제 2 절 전자서명 및 인증제도의 필요성

o 전자적 커뮤니케이션 상대방의 신원 확인

익명성이 증가한 정보사회에서 신원확인을 위한 기술적 방법이 바로 전자서명이다. 전자서명은 서명한 메시지의 송신자 인증(authentication) 및 서명된 문서의 무결성(integrity)을 입증할 수 있기 때문에 증가된 익명서에 대응하는 효과적인 기술적 수단이다. 특히 최근 들어 급증하고 있는 기업- 소비자간(business-to-consumer) 전자상거래가 본격화 될 경우 사전적인 관계가 없는 상황에서 전자거래가 발생하게 되므로 당사자의 신원에 대한 불확실성은 더욱 높아질 것이고, 이에 따라 디지털 서명의 필요성이 증가할 것이다.

o 전자서명된 문서의 무결성 보장

원본과 복사본의 식별이 불가능하고 내용을 손쉽게 변조할 수 있는 전자문서의 특성 상 기존의 인장이나 서명과는 다른 새로운 수단이 필요하게 되는데, 전자서명 및 인증제도는 전자서명된 문서가 서명자가 의도한 바로 그 문서로서, 전자문서의 생성, 유통, 보관과정 등에서 발생할 수 있는 변조가 일어나지 않았음을 입증하는 기능을 지닌다. 또한 전자화된 정보를 이용할 경우 내용을 변조하거나, 정당하게 이루어진 거래 또는 계약을 부인하는 것이 용이하므로, 이를 효과적으로 방지하여 가래당사자간의 분쟁을 최소화하고 전자상거래의 신뢰기반을 조성할 필요가 있다. 전자서명 및 인증제도는 이러한 신뢰기반의 중요한 요소로서 자리잡게 될 것이다.

o 법적 분쟁 시 증거를 위해

현재 이루어지고 있는 전자거래와 관련된 분쟁이 발생했을 때, 인증기관의 인증서를 법원에 제출해 거래 상대방을 증명할 수 있다. 즉, 디지털서명의 부인봉쇄(non-repudiation)의 기능을 통해 증거 자료화할 수 있다. 여기서 고려해야 할 점은 법적 분쟁 발생시의 위험배분을 위해 인증기관의 인증을 받은 문서는 진정 성립된 것으로 추정하는 규정이 존재하여야 한다는 점이다. 만약 관련법에서 위와 같은 위험배분에 대한 추정규정을 두지 않는다거나, 관련법이 아예 제정되지 않는 경우, 또는 제정된다 하더라도 인증기관의 인증을 받은 문서에 대한 진정 성립 추정이 없는 경우, 인증기관의 인증서를 이용한 법적 분쟁의 해소에 한계가 있기 때문이다.

제3절 전자서명 및 인증제도의 주요 응용분야

전자서명 및 인증제도는 먼저 개방시스템에서의 전자거래가 지니는 불확실성 및 위험의 증대와 보안의 취약성을 극복하기 위해 주로 사용될 수 있다. 전자서명 및 인증은 개방네트워크에서 전자거래에 참여하는 주체들의 다양한 요구사항들 중 인증, 확인, 증명, 무결성 및 부인봉쇄 등의 핵심적인 부분을 해결할 수 있다고 판단된다.
또한, 전자서명은 전자지불과 홈뱅킹 시에도 필수적으로 사용될 것인데, 먼저 고객으로부터의 송금, 계좌 이체 등을 요청 받았을 경우 본인확인과 내용확인을 하는 데에 사용이 가능하며, 신규 계좌 개설, 잔액조회, 거래 명세 조회, 자동이체, 수표발행 등의 여러 가지 은행 업무를 수행할 때 당사자 인증과 내용 인증의 보장이 필수적이므로 전자서명의 이용이 불가피 할 것으로 판단된다.
전자상거래에서 뿐 아니라 공공기관이 발행하고 있는 등기, 호적, 주민등록등본 등의 문서들을 일반인이 네트워크를 통하여 신청하고 발급받는 민원행정업무와, 공공기관 내부 또는 공공기관간에서 업무의 효율성을 증진시키기 위해서도 전자서명은 필수적이다.
끝으로 공증인은 신청인으로부터 송신된 전자문서의 성립과 내용을 심사하고 공증문을 전자서명하여 신청인에게 송신하고 보관함으로써 기존의 공증을 전자화할 수 있으며, 현재 우체국에서 수행하고 있는 내용증명도 전자문서로 확대될 수 있는 바, 전자서명이 제공하는 무결성의 특징을 이용하여 인증기관 등의 객관적 제3자를 통한 전자문서의 내용증명이 가능하다.

제4절 전자서명 및 인증제도를 위한 정부의 역할

전자서명이 실제 원활히 운용되기 위해서는 기술적으로 인프라 이외에도 ‘인증기관’ 이라는 신뢰받는(trusted)제 3자로 하여금 거래당사자의 신원을 입증하도록 하는 사회적인 인프라가 필요하다. 사회적인 인프라의 중요 내용은 첫째, 전자서명이라는 새로운 수단에 대한 법적 효력을 부여하는 것이고, 둘째, 새로이 등장하는 인증기관의 일반적인 업무에 대한 규정이 존재하여야 한다. 셋째, 인증기관, 이에 가입하는 개인 및 기관, 그리고 인증기관의 전자서명을 신뢰하는 거래 당사자 사이의 일련의 책임 및 의무를 규정하여야 한다. 기술적인 측면을 발전시키는 것 이외에 전자 서명 및 인증제도와 관련한 정부의 역할은 전자서명법으로 대표되는 이러한 사회적인 인프라의 구축을 위한 노력으로 요약될 수 있다.



제2장 인증기관 관련 국내외 동향

제1절 인증기관의 주요업무

인증기관의 가장 핵심적인 업무는 전자적 커뮤니케이션의 상대방이 정말로 그 사람인가를 확인해주는 신원인증업무이다. 인원인증업무의 일환으로 인증기관은 사용자의 신원을 확인하여 인증서를 발급하고, 전자서명키를 관리하며, 사후 분쟁에 대비하여 인증서관련 기록을 보존하는 등의 업무를 수행한다.
이외에 인증기관의 주요한 업무로는 전자적 커뮤니케이선의 내용과 일시 등을 확인하는 내용인증업무가 있다. 내용인증업무에는
ⅰ) 계약의 신청/승락 시기가 그 계약의 성립에 영향을 주므로, 통신의 발신, 착신의 정확한 시점을 인증기관이 시점확인표시(time stamp),
ⅱ) 우체국의 내용증명처럼 전자문서의 내용을 인증기관이 증명하는 내용증명,
ⅲ) 사서증서의 인증 등 기존의 공증업무를 전자적으로 수행하는 전자 공증,
ⅳ) 끝으로 사후 분쟁에 대비하기 위하여 과거에 증명한 전자문서를 일정기간 이상 보관하는 전자문서의 보존 등이 포함된다.

또한 전자적인 커뮤니케이션이 보다 복잡해지고 응용서비스의 범위가 넓어짐에 따라, 위와 같은 신원인증과 내용인증 업무 이외에 고객의 지급능력이나 싸이트를 개설한 기업의 신용도를 인증기관이나 타 기관이 보유하는 정보를 이용하여 확인, 증명하는 신용확인업무의 필요성도 커지고 있다. 신용인증 기능은 위의 신원인증이나 내용인증과는 달리 협의의 전자서명 인증기관으 범위에서 벗어나기 때문에 본 보고서에서는 다루지 않으나, 정보사회에서의 신뢰 확보 방안으로서 그 중요성이 점차 부각될 주제라고 판단된다.

제2절 인증기관의 분류

인증기관을 분류하는 방법에는 여러 가지가 있을 수 있으나 먼저 발행하는 인증서의 이용범위에 따라 인터넷과 같은 공공망에서 사용되는 인증서를 발행하는 공적 인증기관(Public CA)과 조직의 내부망 즉, 인트라넷 등에서 이용할 목적으로 사용되는 인증서를 발행하는 사적 인증기관(Private CA)으로 구분할 수 있다. 또한 인증기관의 주요기능에 따라 신원인증기관과 내용인증기관, 신용인증기관 등으로 분류해볼 수도 있다. 한편, 국내외 전자서명 및 인증 관련 법령에 인증기관의 인가나 인정 등의 사항이 포함되어 있는 경우가 많은데, 이러한 규정에 따라 해당 법령이 정한 기관의 인가나 인정을 받은 ‘공인인증기관’ 과 그렇지 않은 ‘비공인인증기관’으로 분류되기도 한다.

제 3 절 국외 주요 인증기관 동향

대표적인 인증서비스 제공업체인 미국의 verisign사의 경우, 1998년 3월 현재 지난 해와 비교하여 136%의 성장을 기록하는 등, 빠른 성장세를 보이며 이미 일본과 유럽에까지 사업을 확장하고 있다. 또한 여러 종류의 CA 제품을 생산하고 있는 캐나다의 Entrust사의 경우, 1994년 처음 사업을 시작한 이래 매년 2배 이상의 빠른 성장세를 보이며 전자상거래의 기반이 되는 다양한 인증 솔루션을 제공하고 있다. 이와 같이 현재 인증서비스와 관련된 사업은 전자상거래의 확산에 다라 매우 유망한 분야의 하나로 각광 받는 분야로 떠오르고 있다.
민간 상용 인증서비스 업체 이외에도 국가적인 프로젝트 차원에서도 공개키기반구조 구축 및 전자서명 인증업무 관련 연구가 진행 중인데, 그 대표적인 예가 미국의 FPKI(Federal Public Key Infrastructure), 호주의 PKAF(Public Key Authentication Framework), 일본의 ECOM(Electronic Commerce Promotion Council of Japan) 등을 들 수 있다.
이렇게 인증서비스가 가장 활발하게 이루어지고 있는 미국을 비롯해서 캐나다, 독일, 영국, 일본, 말레이시아 등 여러 나라에서 상용 서비스로서 또는 시범적으로 인증기관이 운영되고 있는데, 그 중에서 주요한 민간 인증기관을 소개하면 다음과 같다.

o Verisign

대표적인 Public CA 인 Verisign 사는 RSA시큐리티사가 설립한 인증서비스 전문 회사로 인터넷 메일을 통해 등록한 개인사용자나 기관사용자에게 Netscape, MS, Frontier Technologies 등의 Web 브라우저/서버 및 S/MIME을 지원하는 E-mail 어플리케이션 등에서 이용할 수 있는 공개키 인증서인 Digital ID를 부여하고 인증서비스를 제공하고 있다.

o GTE사의 Cybertrust

GTE사에서 설립한 CyberTrust에서는 CA를 운영하기 위한 하드웨어와 소프트웨어를 제공하여 쉽게 인증시스템을 구축할 수 있도록 하고 있으며, CyberTrust에서 직접 인증서비스를 제공하기도 한다. CyberTrust의 CA 시스템은 SET의 상위 레벨의 CA로 운영하기 위해 MasterCard가 선택한 제품이다.

o Thawte Consulting

Thawte Consulting은 남아프리카의 온라인 서비스와 제품시장을 겨냥하여 ‘95년에 창립된 회사로, 현재는 온라인 보안 및 정보보호분야에서 세계적인 제품 및 서비스 제공업체로 성장하였다. Thawte가 제공하고 있는 제품과 서비스에는 인증서 발급 서비스, Extranet 인증서비스, CA의 인증서비스 등이 있다.

o NetDox

NetDox는 회계감사 부문의 세계적인 기업인 Deloitte ＆ Touch LLP 사와 Thurston Group Inc. 이 공동으로 ‘96년에 공동으로 설립한 회사로, Dox("Digital box")를 이용하여 송수신상에 특별히 보안이 요구되는 전자메시지의 경우 누가, 언제, 누구에게, 어떤 메시지를 보냈는지 등에 대한 상세하고 확실한 인증서비스를 DoxIt라는 이름으로 제공된다.

o Surety Technologies

Surety사는 ‘94년도에 전자문서의 공증서비스 분야를 핵심사업분야로 하여 설립된 회사로, 이 분야에서 가장 먼저 상용서비스를 시작하였다. Surety사의 전자 공증서비스(Digital Notary Service)는 단방향 Hash Function을 이용하여 해쉬 값을 Tree에 쌓아 올리는 방법과 Timestamp를 이용하여 특정 일시에 공증한 디지털 경보의 무단 변경 및 누설의 유무를 확인하는 기능을 제공한다.

제4절 국내 인증기관의 현황

우리나라의 경우 거래당사자의 신원 확인 및 거래의사의 진정성을 확인해주는 신뢰받는 제3자로서의 인증서비스를 제공하는 인증기관은 금융결제원, 증권전산원, 한국정보인증 및 한국전산원 등이다. 우리나라의 경우 시범서비스 차원에서 또는 인터넷을 통하여 신청한 사용자에게 제한적인 인증서비스를 제공하는 인증서비스 사업자들이 나타나기 시작한 단계이다.
인증기관과 관련하여 사업을 추진 중에 있는 기관으로는 기간통신사업자인 한국통신과 데이콤, 벤처기업 형태의 정보보호관련업체 등이 있고, 그외에도 이니텍, 소프트포럼 등 정보보안 전문업체 등이 인증서비스를 시험적으로 제공하고 있으며 금융관련업체, 증권거래소, 우체국 및 정부전산정보관리소, 특허청 등 공공기관도 인증업무를 수행할 것으로 예상된다.
우리나라에서도 본격적인 인증서비스를 제공하고 있는 기관이 있지만, 실제로 현재 국내에 개설되어 있는 인터넷 쇼핑몰 중 많은 수가 Verisign 이나 Thawte등 외국의 인증서비스 제공업체를 이용하고 있다. 미국의 Verisign과 같은 경우 이미 일본과 유럽에까지 사업 범위를 확장하고 있으며, 국내에서도 외국 CA 제품수입이 증가하고 있어, 이에 대비한 국내 인증기술의 확보 및 인증기관의 활성화가 시급한 실정이다.

제3장 전자서명법 관련 국내외 동향

제1절 전자서명법의 접근방법

국내외에서 전개되고 있는 전자서명 관련 법령의 체계 및 접근 방식은 크게 4가지로 분류될 수 있다.
①공개키기반구조의 디지털서명 모델(PKI/Digital Signature Model)
②기준 제시 모델(Criteria-Based Model)
③유효성 인정 모델(Signature-Enabling Model)
④복합형 모델(Hybrid Model)

먼저 미국의 유타주 디지털서명법이나 독일 디지털서명법으로 대표되는 공개키기반구조의 디지털서명 모델(PKI/Digital Signature Model)은 공개키방식의 디지털서명만을 대상으로 삼고, 관련 정의와 인증기관의 인허가 및 감독, 인허가 중지 및 취소, 인증기관과 가입자 미치 관련자간의 책임관계, 인증서의 발행•중지•폐지, 디지털서명 및 인증서의 효력, 상호인증 등과 관련된 사항들을 선택적으로 규정하고 있다.
기준 제시 모델(Criteria-Based Model)은 전자서명에 일정한 기준을 두고, 그 기준을 만족하는 경우 법적 효력을 인정하는 방식의 전자서명법을 가리킨다. 이 모델에 해당하는 대표적인 법으로는 캘리포니아주의 전자서명법이 있다.
유효성 인정 모델(Signature-Enabling Model)은 전자서명이 기존의 수기서명과 차별화되지 않도록 넓은 범위에서 전자서명의 유효성을 인정하는 방식으로, 미국 메사츄세츠주의 전자서명법이 그 대표적인 경우이다. 이 법에서는 수기서명과 전자서명의 정의를 제시하면서, 전자서명의 적용범위를 밝히고, 수기서명과 전자서명을 차별화하지 않음을 분명히 한다. 인증서나 인증기관, 책임문제, 상호인증문제 등은 전혀 언급하지 않으며 기존의 법체계 및 시장에서 결정토록하고 있다.
끝으로, 혼합형 모델(Hybrid Model)은 전자서명과 디지털서명을 포함하는 모델이다. 이 모델에 해당하는 전자서명법에서는 저자서명의 정의를 주고, 그 중에서 안전한 전자서명의 요건과 법적 효력을 명기하며, 디지털서명을 안전한 전자서명의 하나로 간주한다. 디지털서명과 관련해서는 인증기관의 인허가, 인증서의 발급•중지•폐지, 인증기관 및 사용자의 책임 문제와 상호인증 문제 등을 PKI/Digital Signature Model 과 같이 규정하고 있다. 이러한 기술 중립적이며 일반적인 혼합형 모델방식을 채택하고 있는 대표적인 법으로는 운시트랄 전자서명 통일규칙과 미국 일리노이주 전자서명법이 있다.

제2절 전자서명법 관련 해외 동향

유엔국제상거래법위원회, 즉 운시트랄은‘ 96년 6월 데이터메시지와 관련한 서명의 요건이 포함되어 있는 ’전자상거래에 관한 UNCTRAL 모델법(UNCTRSL Model Law on Electronic Commerce)'을 채택한데 이어,‘97년 12월에는 ’전자서명에 관한 통일규칙초안(Draft Uniform Rules on Electronic Signature; 이하 통일규칙)‘을 발표하였다. 통일규칙 초안은 서명, 전자서명, 안전한 전자서명 및 디지털서명의 4가지 개념을 사용하면서, 공개키암호방식을 이용한 디지털서명을 안전한 전자서명의 하나로 간주하고, 안전한 전자서명에 대해서만 법적 효력을 부여함으로써, 디지털서명 뿐만 아니라 다른 서명방식도 법적인 체계 속에서 명시적으로 포함시키고 있다.
한편, OECD에서는 정보통신시스템의 안전한 운용과 전자상거래의 촉진 및 사생활보호를 위하여 암호기법의 유용성을 인식하고 ‘97년 5월OECD암호정책지침을 제정하여 회원국에 권고하였고, 지난’98년 10월에 “국경 없는 세계: 범세계적인 전자상거래의 실현” 이라는 제목하에 캐나다 오타와에서 열린 OECD각료회의에서는 전세계 전자상거래에 대한 공동의 비전을 달성하기 위한 방안으로서 ‘전자상거래 인증에 관한 선언문(Declaration on Authentication for Electronic Commerce)'을 채택하였다.
미국의 경우 이미‘95년부터 대다수의 주에서 전자문서의 안전•신뢰성 확보 방안으로 전자인증제도를 고려하고 있거나 관련 법안을 제정하였다. ’97년 8월 현재 39개 주가 디지털서명 또는 전자서명법을 제정했거나 관련문제에 대해 연구중이며,‘97년 9월 현재 그 중 10개 주가 공공과 일반 부문의 커뮤니케이션을 포괄하는 일반적인 용도의 13개 법을 제정하였고, 23개 주에서는 보건서비스 제공자나 차량등록을 위한 전자서명의 활용 같은 공공 부문이나 제한된 민간부문에만 적용되는 특정용도의 법령36개를 제정하였다. 그 중 유타주 디지털서명법(Utah Digital Signature Act)은 ‘96년에 제정된 법령으로 공개키기반구조(PKI:Public Key Infrastructure)에 근거한 디지털서명만을 대상으로 하는 대표적인 법률로 디지털서명법으로는 전 세계적으로 가장 선구적이라고 할 수 있는 법이다.
독일에서는 ‘97년 6월 13일 연방의회를 통과한 옴니버스형식의 법률인 정보통신서비스법(IuKDG)의 세 번째 법률로서 전자서명법(Signaturgesetz)이 제정되었다. 디지털서명이 안전한 것으로 인정되고 디지털서명의 위조 또는 디지털서명된 문서의 변조를 확인할 수 있도록 디지털서명에 관한 기본적인 요건을 명시하는 목적으로 제정된 동법은, 미국 유타주법과 마찬가지로 공개키방식의 디지털서명만을 그 대상으로 삼고 있다.
이외에도 영국등 대다수 서유럽 국가도 유타주법과 유사한 디지털서명법을 제정 추진 중이고, 말레이시아는 ‘97년에 이미 디지털서명법을 제정하였으며, 일본은 전자상거래실증추진위원회(ECOM:Electronic Commerce Promotion Council of Japan)와 법무성을 중심으로 전자인증 및 공증제도에 관한 연구가 진행중이다.


제3절 국내 전자서명 관련 법령 현황

현행 국내에 기존의 서명 및 인장과 관련된 법령은 600여개로, 그 중 약 80%가 시행령, 행정규칙 또는 규정으로 되어있고, 인감법. 인장업법. 외국인의 서명날인에 관한 법률이 단행 법률로 제정되어 있다. 전자서명과 관련된 법 조항은 국내 여러 법에서 발견되는데, 이 법들은 대부분 폐쇄망에서의 EDI 업무를 규정하기 위해 제정된 것들로 이를 위한 전자문서 및 전자서명의 효력에 대한 보장 규정이 존재한다.
현행 법률에서 다루고 있는 전자서명은 사무관리규정 등에 나타나는 공문서에 적용되는 경우와, 정부부문의 특정사업과 관련된 특별법에서 정의된 규정으로 대별된다. 상기 법령에서는 기존의 서명방식과 다른 전자서명의 구체적인 정의가 나타나 있지 않으며, 또한 주로 특별법의 형식으로 되어 있어 적용분야가 한정되어 있다.
지금까지 살펴 본 국외 관련 법제정 동향과 국내 인증 서비스 준비상황, 전자문서 및 전자상거래의 중요성과 그 경제적 효과, 그리고 기존 국내 관련 법체계의 미흡함 등에 따라 새로운 법령의 필요성을 인식한 정부는 정보통신부를 중심으로 「전자서명법(안)」을 제정하여 국회에 제출하였다. 이를 위해 ‘98년 2월부터 5월동안 관련 전문가 10여명으로 전자서명법 제정을 위한 연구작업반을 구성하여 십여차례의 연구반 회의를 통하여 시안을 마련하였고,’98년 6월에는 전자공청회 및 ‘전자서명법 제정을 위한 토론회’를 개최하여 시안의 내용을 수정•보완하는 과정을 거쳤다. 이 전자서명법은 1999년 7월부터 발효되고 있다.

제4장 전자서명법 해설

제5장에서는 「전자서명법(안)」각 조항별로 입법취지와 입법내용 참조한 해외 입법사례를 상세히 소개하고 있다. 본「전자서명법(안)」에는 공개키기반의 전자서명을 적극적으로 정의하고, 전자서명과 전자문서의 법적 효력을 부여하고 있고(제3조), 안전한 전자서명의 이용 기반을 조성할 수 있도록 공신력 있는 기관(공인인증기관)이 전자서명을 인증하도록 하기 위하여 공인인증기관의 지정제도를 도입하고(제4조0, 공인인증업무의 적정성 및 지속성을 확보하기 위하여 필요한 규정(제6조 내지 제14조)를 두고 있다. 또한 인증서의 신뢰성 학보를 위하여 인증서에 포함할 내용을 명확히 하고(15조),인증서의 발급•효력정지•폐지절차 및 방법 등에 관한 세부적인 사항을 규정하고 있다(제16조 내지 제18조), 전자서명 및 전자문서의 안전한 사용 및 분쟁 발생시에 대비하기 위하여 안전하고 신뢰성 있는 인증관리체계의 운영과 전자서명키 및 인증의무관련 기록의 안전한 관리 등 인증기관의 책임과 의무를 명확히 하고 있다(제19조,제21조,제22조).
인증제도의 안전하고 효율적인 운용을 위해서는 전자서명키의 보호가 필수적이므로 타인의 전자서명키 도용행위, 타인의 명의로 인증서를 발급받는 행위등을 금지하고(제23조),이를 위반한 자를 처벌하는 규정(제30조)을 두고 있다. 한편, 인증서비스 이용 증가 및 정보통신기술 발달에 따라 공인인증기관이 용이하게 수집, 처리, 보관, 유통할 수 있는 개인정보를 보호하기 위하여, 인증업무에 필요한 개인정보의 수집제한, 목적의 이용 및 누설 금지 등을 명시한 조항(제24조)을 두고, 이를 위반한 자를 처벌하도록 하였다(제31조 및 제33조). 이와 함께, 전자서명을 안전하게 사용할 수 있는 환경 조성 및 효율적인 공인인증기관 관리를 위하여, 한국정보보호센터로 하여금 전자서명 인증관리 업무를 수행하도록 하였다(안 제25조),끝으로 국가간의 전자적 거래에 대비하여 정부가 외국 인증기관이 발행한 인증서를 상호 인정하는 협정을 체결할 수 있도록 규정하고 있다(안 제26조).


제5장 향후 과제

전자서명법의 제정 이후에 실제로 인증제도가 운영되는 경우에 발생할 향후의 문제는 크게 기술적인 사항, 인증기관과 관련한 사항 및 제도적인 사항으로 구분할 수 있다.
먼저, 기술적인 사항으로 전자서명 알고리즘의 문제가 있는데, 향후 정부부문의 전자문서의 인증을 위하여 인증기관이 설립되는 경우에는 최상위 인증기관이나 인증정책을 관장하는 기관이 전자서명 알고리즘의 표준을 제정하는 것이 바람직하나, 민간의 거래를 위해서는 가장 사용하기 간편하고, 확장성(expandability)이 존재하는 알고리즘을 인증기관 및 사용자가 자율적으로 선택하도록 하여야 한다. 다른 방법으로는 인증기관이 몇 가지의 알고리즘을 제시하고 사용자가 그 중에서 선택할 수 있도록 하며 기술적으로 전자서명 모듈화를 하여 사용할 수 있도록 하는 방법도 존재한다. 두 번째로는 인증기관과 관련한 사항으로, 인증서비스가 단기간 내에 활성화될 것으로 예측되는 인터넷을 이용한 상거래에서 아직 상용인증서를 발급하는 국내 인증기관은 존재하지 않는데, SET 및 SSL 등을 활용한 해외 인증서비스의 동향을 주시하면서 관련 국내 인증서비스를 활성화할 수 있도록 하는 방안이 필요하다고 보인다. 또한 신원확인에 특화하는 RA와 CA가 분리되어 기술적인 측면의 CA기능을 정보통신업체가 담당할 경우 전자서명법 등의 제반 인증정책의 대상을 어디로 할 것인가 또는 RA도 정책의 대상이 되는가의 문제 등에 대한 보다 심층적인 고려도 필요하다.
마지막으로 제도적인 측면에서는 첫째, SET에서 행하는 인증서비스처럼 전세계적으로 서비스가 이루어지는 인증의 경우 현재 고려하고 있는 전자서명법이 고려할 수 있는 대상이 되는가의 문제에 대한 고려가 필요하고, 둘째, 전자서명법의 제정에 이어 시행령과 시행규칙이 제정되면 정보통신부가 인증기관을 지정하게 되는데, 이러한 체계적인 법령의 정비 이외에도 몇 가지의 기준 또는 가이드라인이 필요할 것으로 보인다. 다음으로 전자서명법은 기존의 공증 및 내용증명을 대체할 만한 전자서명 및 인증의 기능에 대해서는 언급을 하지 않고, 신원인증에 대해서만 언급사고 있는데. 향후 인증서비스가 본격화될 겅우 신원인증보다 내용인증이 활성화될 가능성이 높다. 그러나, 이 경우 문제가 되는 것은 기존의 제도에서 공증 및 내용증명을 허용하는 기관에 인증기관이 포함되지 않는다는 것으로, 향후 관련 제도의 개정에 대한 연구가 필요하다.

1998년 자료이며 최근에는 약간 환경이 변화하였습니다.