삼성…“프로세스만 녹스에 저장” 해명, ‘생체인증 공동대응’ 서로 내가 주체 논란도

지난주 애플의 얼굴인식 인증 이른바 ‘페이스ID’ 논란과 같은 생체인증 논란이 국내에서도 적지 않은 것으로 알려져, 당국의 대책마련이 필요해 보인다.

20일 삼성전자 및 금융사 등에 따르면, 삼성전자가 ‘갤럭시S7’ 스마트폰부터 적용중인 ‘홍채’ 인증 관련 데이터가 삼성전자에서 보관한다는 주장이 제기되면서 논란이다.

업계 한 관계자는 “현재 일부 금융사에서는 홍채인증 관련 정보를 삼성전자가 보관한다는 이유를 들어 홍채인증 도입을 꺼리고 있다”고 전했다.

시범서비스를 제공 중인 A은행 관계자도 “우리가(은행이) 받는 건 삼성전자에서 제공하는 API 뿐”이라며 “삼성은 홍채 관련 정보를 ‘녹스(KNOX)’에 안전하게 보관한다고만 전하고, 바이오 인증 데이터 처리 모든 과정에 대해서 은행은 알고 있는 내용이 없다”고 밝혔다.

◆논란은 ‘데이터 보관 주체’ 및 ‘책임 주체’ = 삼성전자는 공식 입장을 통해 “홍채 정보 자체를 저장하지 않는다. 홍채 인식 후 특징을 추출, 이를 암호화해 관리하고 있으며 홍채 정보 원본은 저장되지 않는다”고 밝혔다.

이어 삼성전자는 “홍채 인식부터 특징 추출, 암호화 전체 과정을 ‘녹스(Knox)’ 보안 플랫폼을 통해 보호하고 있다. 삼성 페이, 삼성 패스, 인터넷 로그인 등 홍채 인식을 통해 본인 인증을 할 경우, 기존 암호화된 특징과 맞는지 아닌지를 판단하는 것”이라고 덧붙였다.

홍채인증은 홍채 패턴을 알고리즘 형태로 정보화해 인증에 활용한다. 적외선 카메라로 홍채를 스캔해 홍채의 주름 등 식별적보를 주파수로 변환해 인증하는 방식이다.

즉 삼성전자는 이 프로세스 과정을 ‘녹스’에 저장한다는 것이다.

홍채인증 논란은 여기서 시작된다. “민간 기업이 홍채 인증 프로세스를 보관하고 있는데, 책임은 왜 금융회사가 지느냐”하는 점이다.

금융회사 관계자는 “삼성전자는 홍채인증 알고리즘을 금융회사에 제공해야 한다”며 “삼성이 말한 대로, 특징 추출, 암호화 전체 과정을 민간기업이 갖고 있는데, 현재 금융감독규정에서는 금융사고에 대한 책임을 금융회사가 진다. 금융사고의 원인이 홍채인증 과정의 문제에 있다고 가정할 때, 금융사는 대응할 수 있는 방법이 없다”고 지적했다.

실제로, 올초 진웅섭 전 금융감독원장도 “암호화·분리보관 등을 통해 금융회사가 지문, 홍채 등 바이오정보를 스스로 책임을 갖고 관리할 수 있어야 한다”고 밝힌 바 있다.

◆해킹 가능성도 = 책임 주체 논란에 이어 해킹 가능성까지 제기되고 있다.

논란이 발생한 것은, 독일의 해커 단체 CCC(Chaos Computer Club)가 공개 한 동영상 때문이다.

동영상에서는 적외선을 파악할 수 있는 카메라를 사용, 갤럭시 S8 소유자의 눈을 촬영, 프린트로 출력한 후 눈동자 부분에 콘텍트 렌즈를 붙여, 홍채 인증을 속이는데 성공했다는 것이다.

삼성측은 ‘고가의 적외선 카메라 확보 불가’ 등 이유로 부인했지만, 인터넷에는 ‘삼성 갤럭시 S8 홍채인증을 쉽게 깰 수 있는 방법’이라고 소개된 글까지 올라오며 해킹 가능성에 대한 논란은 가중되는 실정이다.

은행의 한 관계자는 “이 경우, 제3의 기관에서 이를 맡아 운용하는 게 적절하다고 본다”고 전했다.

◆은행연합회, 금융결제원 “내가 관리주체” 논란도 = 논란이 이어지자 은행연합회, 금융결제원에서 ‘바이오 인증센터’를 자처하는 움직임이 나타나고 있다.

금융결제원은 지난 2016년 연말, ‘바이오정보 분산관리 금융표준’을 기반으로 ‘바이오 인증 분산관리 센터’를 구축했다고 밝혔다.

‘분산 관리 센터’는 서비스는 두 가지다.

2중 바이오정보를 조각으로 나눠서 분산관리 센터와 금융회사 서버에 분할 보관하는 금융서버 방식이 특징이다.

59곳 참가 금융사는 은행(17곳)·증권(20곳)을 포함 보험·카드·서민금융회사 등으로 구성된다.

나머지 42곳 금융사들도 내부 전산 시스템과 분산관리센터 간 연동을 진행 중이며, 완료되는 대로 바이오인증 서비스를 순차적으로 제공할 계획이다.

은행연합회도 ‘은행권 생체인증 공동 대응’ 주체를 표방하며, 최근 은행권 출연금 등 협약에 가속도를 붙이고 있다.

금융결제원이 기존 중계 업무가 몰려 있기 때문에, 바이오 인증 관련 분산 정책이 필요하다는 명분을 내세우는 것으로 풀이된다.

은행의 한 관계자는 “감독당국은 생체인증 책임을 금융회사에게 떠 맡기고, 제3기관은 서로 주체를 내세우는 등 논란이 극심하다”며 “금융위원회, 금융감독원에서 빨리 바이오 인증 정보 및 프로세스 처리 모든 과정에 대한 알고리즘 제공 의무 및 책임 주체를 정해야 한다”고 밝혔다.

개인정보 최종의 마지노선 ‘생체인증’. 그 선이 무너진 후 혼란은 생각하기도 싫지만, 지금이라도 민간, 정부, 금융사가 머리를 맞대고 논란을 종식시켜야 할 것으로 보인다.

<김동기 기자>kdk@bikorea.net