다양한 운영체제와 기기에서도 금융서비스가 가능한 오픈뱅킹 서비스, 이른바 열린금융을 선보이려는 은행들이 점점 늘어나고 있다. 국민은행, 기업은행, 우리은행, 하나은행 등은 이미 오픈뱅킹 서비스를 선보이고 있다. 외환은행과 농협 등도 이 흐름에 가세할 예정이다.
그러나 이들 은행들이 진정한 오픈뱅킹 서비스를 위해 넘어야 할 산이 남아있다. 바로 공인인증서 문제다. 공인인증서는 정부가 안전한 금융거래를 위해 도입한 표준 X.509 인증서다. 공인인증서 그 자체는 문제가 아니다. 다만 공인인증서가 액티브X 환경에서만 인식되게 만들어진 게 걸림돌이다. 액티브X는 마이크로소프트가 개발한 응용프로그램 자동설치 지원 기술이다. 윈도우와 익스플로러 사용 빈도가 상대적으로 다른 국가에 비해서 높은 국내에서는 지금까지는 금융거래시 액티브X 설치가 문제되지 않았다. 귀찮을 뿐이지 설치만 하면 웹에서 금융거래를 할 수 있었기 때문이다.
그러나 스마트폰, 태블릿 등 PC를 대신할 다양한 기기가 등장했고, 윈도우와 익스플로러가 아닌 환경을 사용하는 사람들이 늘어나면서 특정 환경에 최적화된 공인인증서를 바탕으로 한 금융거래 이용은 문제가 되기 시작했다. 윈도우와 익스플로러를 사용하는 사용자와 아닌 사용자들간의 차별이 발생하게 된 것이다.
오픈뱅킹을 도입한 상당수 은행관계자들은 “고객들이 다양한 환경에서도 금융 사이트를 이용할 수 있게 도와달라는 민원이 지속적으로 제기됐다”라며 “그래서 오픈뱅킹 서비스를 검토하고 도입하게 됐다”라고 말했다. 그러면서도 “현재 선보이고 있는 오픈뱅킹 서비스는 완전하지 않다”라며 “공인인증서를 비롯 다른 전자결제방법이 등장하지 않는 이상 아직은 불완전한 오픈뱅킹 서비스를 고객들에게 제공할 수 밖에 없다”라고 안타까운 마음을 전했다.
불완전한 오픈뱅킹 서비스는 무엇을 말하는 걸까. 국내 은행들이 선보이는 오픈뱅킹 서비스를 살펴보면 특이한 점이 있다.
진정한 오픈뱅킹이라고 한다면 정말 사용하고 있는 운영체제와 웹브라우저에 상관없이 웹에서 금융거래를 할 수 있어야 한다. 그러나 상당수 국내 은행들은 플러그인 형태로 공인인증 전자서명프로그램을 설치하라고 제안하고 있다. 프로그램을 설치하지 않았을 경우엔 계좌조회, 이체 등 금융거래가 제한돼 사실상 오픈뱅킹 서비스를 누릴 수 없다. 말만 바뀌었을 뿐이지 금융 거래를 하는 사용자 입장에서는 윈도우와 익스플로러 환경 때처럼 전자서명 프로그램을 설치한 뒤에야 금융거래가 가능해진다. 그래서 일부 사용자들은 현행 오픈뱅킹을 오픈뱅킹이 아닌 ‘플러그인 뱅킹’이라고 부른다.
![openbanking](https://img1.daumcdn.net/relay/cafe/original/?fname=http%3A%2F%2Fwww.bloter.net%2Ffiles%2F2011%2F12%2Fopenbanking1-500x358.jpg)
지난해 ‘전자금융거래시 공인인증서 사용의무 규제완화 방안’이 발표됨되면서 금융기관과 전자금융업자가 자율적으로 인증 방법을 선택할 수 있게 됐다. 당시 금융감독원은 금융기관 또는 전자금융업자는 공인인증서를 사용하지 않고도 이용자 인증, 서버인증, 통신채널 암호화 요건 등을 갖춘 경우에는 인증방법평가위원회의 안전성 평가를 거쳐 다양한 전자금융 서비스를 제공할 수 있다고 밝혔다. 또 금융감독원이 지정한 공인기관에서 기술검증을 받은 경우에는 인증방밥평가위원회의 평가를 생략할 수 있도록 도울 것이며, 평가를 거친 인증방법에 대해서는 금융감독원의 보안선 심의를 간소화하겠다고도 밝혔다.
방안이 발표되고 1년이 지난 지금, 공인인증서를 대체할 기술을 도입한 은행은 없다. 공인인증서를 대체할 기술이 부족해서일까. 한 업계 관계자는 “그렇지 않다”라며 “금융위와 금감원이 평가기관을 앞세워 매우 높은 수준의 ‘공인인증서와 동등한 수준의 체제’를 요구하고 있기 때문”이라고 주장했다.
하물며 인증방법평가위원회의 관계자도 “위원회가 세워진 이후 그 어떤 업체도 심의를 요구한 적이 없다”라며 “한국정보통신기술협회와 한국인터넷진흥원 등이 ‘공인인증서와 동등한 수준의 안정성을 가진’을 요구하며 매우 까다롭게 굴기 때문에 정작 심의 단계까지 올라온 대체 기술들을 만나본 적이 없다”라고 말했다.
이들은 “말이 공인인증서와 ‘동등한’이지, 실제로는 공인인증서와 똑같은 기술을 갖고 오라고 한다”라며 “이와 같은 규정이 있는 이상 대체 기술을 가지고 심의를 통과한 업체를 만나기 어려울 것”이라고 입을 모아 강조했다.
실제 루멘소프트와 이니텍 등 다양한 모바일 기기에서 금융거래를 할 수 있는 솔루션을 개발하는 업체들도 기존 공인인증서 기술을 바탕으로 ‘앱프리’와 ‘모아사인’ 같은 대체 기술을 개발했다. 하지만 아직 이를 성공적으로 도입한 금융권을 찾아보기 힘들기 때문에 현존하는 공인인증서를 좀 더 편리하게 다양한 기기에서 사용할 수 있는 쪽으로 우선 방안을 고민하고 있는 실정이다.
현재 인증방법평가위원회가 요구하는 기술적 요건은 대략 5가지다. 즉 ▲정당한 이용자 여부를 식별할 수 있는 ‘이용자 인증’ ▲정당한 금융기관 등의 여부를 확인할 수 있는 ‘서버 인증’ ▲서버간 전자금융거래내역 등 중요 정보가 유출되지 않도록 ‘통신채널의 암호화’ ▲금융거래내역의 위조와 변조 여부를 확인할 수 있는 ‘거래내역의 무결성’ ▲정당한 전자금융거래 사실을 이용자와 금융기관이 부인할 수 없는 수단인 ‘거래내역의 부인방지’ 등이다. 이 중 가장 문제가 되는 것은 ‘거래내역의 부인방지’ 기능이다.
이 기능을 구현하기 위해서는 은행 서버에 해당 거래 정보가 저장돼야 한다. 웹에서 계좌이체시 공인인증서 암호를 넣는 것은 ‘이 금융거래를 하고 있습니다’라는 정보를 은행 서버에 보내는 행위다. 이를 위해 전자결제 프로그램을 설치하는 과정을 거치고 있다. 별도의 프로그램 설치 과정을 거치지 않고 이 정보를 은행 서버에 보내줄 수 있는 방법은 아직까지 등장하지 않았다. 이 문제를 해결하지 않는 이상, 사용자들은 금융거래를 위해 공인인증서를 설치해야 한다.
오픈뱅킹 서비스가 개시됐지만 여전히 각 은행별 애플리케이션이 별도로 존재하고, 오픈뱅킹을 위한 애플리케이션이 따로 등장해야 하는 이유가 여기 있다. 모바일 기기에서도 금융거래를 위해선 공인인증서를 설치해서 관리해야 하기 때문이다.
지난해 ‘전자금융거래시 공인인증서 사용의무 규제완화 방안’이 발표하면서 금융감독원은 인증방법평가위원회를 조직하고 평가기관까지 선정하면서 “조만간 공인인증서 없이 거래할 수 있는 날이 올 것”이라고 호언장담했다. 1년여 지난 지금도 공인인증서가 왜 등장하지 않고 있는지에 대해서 보다 현실적인 접근이 필요한 때다.