2024년 12월, 유럽 전기통신 표준 기구(ETSI)는 TS 119 431 표준의 업데이트된 버전을 발표하여 공인 원격 서명 프로세스에서 일회용 비밀번호(OTP의 필요성을 효과적으로 제거했다. 이에 대해 IDnow의 수석 아키텍트이자 IDnow Trust Services AB의 CSO인 세바스찬 엘포스가 해당 표준을 심층적으로 요약하고, 변경 사항을 분석하며, 보다 사용자 친화적인 프로세스를 위한 그 이점을 설명한다.

원격 서명 서비스 소개

원격 서명의 개념은 사용자의 개인 키와 공인 인증서가 원격 공인 서명 생성 장치(RQSCD)에서 생성되고 보호되는 것을 의미한다. 이 RQSCD는 공인 신뢰 서비스 제공자(QTSP)에 의해 운영된다. 사용자는 서명 인증 모듈(SAM)에 인증하여 개인 키와 공인 인증서에 접근할 수 있으며, 이를 통해 RQSCD에서 공인 전자 서명이 생성된다. SAM과 RQSCD를 운영하는 QTSP는 원격 서명 서비스라고도 불린다.

즉, 사용자는 자신의 개인 키와 공인 인증서의 사용을 원격 서명 서비스에 위임할 수 있으며, 이 서비스는 사용자를 대신하여 클라우드에서 공인 전자 서명을 생성할 수 있다. 이러한 접근 방식에는 여러 가지 장점이 있는데, 가장 중요한 것은 사용자가 필요한 인증 수준을 지원하는 어떤 기기에서도 원격 서명 서비스를 이용할 수 있다는 점이다. 이는 USB 또는 NFC(근거리 무선 통신)를 통해 사용자 기기에 연결해야 하는 스마트카드(로컬 QSCD)보다 훨씬 더 사용자 친화적인 솔루션이다.

관련 규정 및 표준

elDAS1(EU 규정 No. 910/2014)에 따르면, 원격 공인 서명 생성 장치(RQSCD) 운영은 하나의 모듈로 수행될 수 있으며, 이는 공인 신뢰 서비스 제공자(QTSP)가 인증 기관과 같은 다른 공인 신뢰 서비스를 위한 인증을 받은 경우에 해당한다. 한편, elDAS2(EU 규정 2024/1183)에서는 RQSCD 운영이 법적으로 공인 신뢰 서비스로 정의된다. 따라서 원격 서명 서비스가 RQSCD를 어떻게 운영해야 하는지를 기술적으로 정의하는 표준이 필요하다.

유럽 표준화 위원회(CEN)는 원격 서명 서비스와 관련하여 다음과 같은 세 가지 표준을 발표했다.

• CEN EN 419241-1: 신뢰할 수 있는 서버 서명 시스템 – 일반 시스템 요구 사항
• CEN EN 419241-2: 신뢰할 수 있는 서버 서명 시스템 – 서버 서명을 위한 QSCD 보호 프로파일
• CEN EN 419221-5: 신뢰 서비스 제공자를 위한 암호화 모듈 보호 프로파일 – 신뢰 서비스용 암호화 모듈

CEN 표준 외에도, 유럽 전기통신 표준 기구(ETSI)는 원격 서명 서비스와 관련된 다음과 같은 세 가지 보완 표준을 발표했다.

• ETSI TS 119 431-1: 신뢰 서비스 제공자의 정책 및 보안 요구 사항 – 원격 RQSCD/SCDev 운영을 위한 TSP 서비스 구성 요소
• ETSI TS 119 432: 전자 서명 및 인프라(ESI) – 원격 디지털 서명 생성 프로토콜
• ETSI TS 119 431-2: 신뢰 서비스 제공자의 정책 및 보안 요구 사항 – AdES 디지털 서명 생성을 지원하는 TSP 서비스 구성 요소

아래 그림은 CEN EN 419241-2에 따른 원격 서명 서비스의 개요를 보여준다(CEN EN 419241-2에서 수정됨).

장기 인증서 vs. 일회성 인증서

이러한 CEN 및 ETSI 표준은 elDAS1/elDAS2를 준수하는 원격 서명 서비스 운영의 핵심 기반이 된다.

그러나 CEN 및 ETSI 표준은 장기 공인 인증서 사용을 기준으로 마련되었다. 즉, 인증서는 RQSCD 내에서 2~3년 동안 유효하며, 사용자는 동일한 인증서를 여러 번 반복적으로 사용할 수 있다. 이에 따라 CEN 표준에서는 SCAL2(Sole Control Access Level 2)에서 SAP(서명 활성화 프로토콜) 및 SAD(서명 활성화 데이터)로 구성된 인증 프레임워크를 규정하고 있다. 이러한 방식은 매주 여러 개의 계약서를 디지털 서명해야 하는 경영진과 같은 사용자에게 유용하다.

그러나 일회성(또는 단기) 공인 인증서가 더 적합한 시나리오도 존재한다. 예를 들어, 개인이 은행 또는 통신사와 계약을 디지털 서명해야 하는 경우가 이에 해당한다. 이 과정은 한 번만 수행되며, 사용자는 은행이나 통신사에 의해 신원 확인을 거친 후 PDF 계약서에 서명한다. 이후 동일한 기관과 추가 계약을 체결할 필요가 없으므로, 사용자가 다시 인증할 필요가 없다.

CEN 및 ETSI 표준을 준수하려면 QTSP는 먼저 사용자를 신원 확인한 후 인증서를 발급하고, 이후 사용자가 RQSCD에서 서명을 생성할 때 다시 인증해야 한다. 이 과정은 장기 인증서 사용 시에는 적절한 방식이며, 사용자가 여러 번 인증을 수행하여 여러 개의 서명을 생성하는 경우 유용하다.

그러나 일회성 인증서의 경우, 사용자는 이미 동일한 과정에서 신원 확인을 완료했기 때문에 두 번째 인증 단계는 불필요한 절차가 된다.

ETSI TS 119 431 표준의 변경 사항

이러한 배경을 바탕으로, IDnow는 CEN TC224 WG17 및 ETSI ESI에 일회성 인증서가 사용되는 경우 신원 확인만으로 원격 서명을 허용하도록 표준을 개정할 것을 제안했다. ETSI ESI는 이 제안을 수용하여 2024년 12월 ETSI TS 119 431-1을 v1.3.1로 업데이트했다.

이번 개정된 ETSI TS 119 431-1에서는 일회성 인증서의 개념이 정의되었으며, 다음 두 가지 작업이 동일한 세션 내에서 제한된 시간 동안 수행될 경우, 사용자 신원 확인만으로 충분하다는 점이 명확하게 규정되었다.

1. 인증서 발급
2. RQSCD에서의 서명 생성

 

추가 구현 및 표준화

ETSI TS 119 431-1 v1.3.1 개정으로 인해 EU 전역의 QTSP(공인 신뢰 서비스 제공자)는 일회성 인증서를 기반으로 신원 확인만을 요구하는 원격 서명 프로세를 설계할 수 있게 되었다. 이를 통해 일회용 비밀번호(OTP) 없이도 보다 사용자 친화적인 프로세스가 가능해졌으며, 사용자는 한 번만 신원 확인을 받으면 된다.

또한, Cloud Signature Consortium(CSC)의 API 사양도 이러한 원격 서명 절차를 지원할 수 있도록 조정될 수 있으며, 이는 아래 그림에서 설명하고 있다.



이러한 ETSI TS 119 431-1 개정으로 인해 QTSP 및 EU 시민을 위한 보다 사용자 친화적이면서도 안전한 원격 서명 프로세스가 가능해질 것이다.

저자 소개

세바스찬 엘포스는 IDnow의 수석 아키텍트이다.