평범한 보안 토큰입니다. 보안 토큰 자체가 평범한 물건은 아닙니다만… 아무튼 평범하다면 평범한 겁니다(?)

특이사항으로는, 저 물건이 거의 유일하게 개인이 소매 구입 가능한 제품이라는 점이 있겠습니다. 요즘에는 은행에서조차 보안 토큰을 구입할 수 없더군요. 농협은 안 가봤습니다. 지점 편차도 있을 테구요.

 

 

저는 어릴 적부터 물건 까부수는 것을 매우 좋아했습니다. 분해 자체는 간단했고, 분해하니 대충 구조가 그려지더군요.

보안토큰 자체는 IC 칩을 이용해 작동하는 것이고, 저 스틱은 사실 말하자면 일종의 금융IC 리더기라고 할 수 있겠습니다. 그리고 이 모델은 마이크로 SD 카드 리더기 겸용이므로, mSD 슬롯과 USB 칩셋 또한 달려있습니다.

 

정리하자면 구조는

[보안토큰 USB 칩셋+금융IC (보안토큰 부분)]+[mSD 슬롯+USB 칩셋 (리더기 부분)]

 

정도가 되겠네요. 저 금융IC 칩만 따로 구한다면 칩 분실이나 파괴시 유연한 대처가 가능해보입니다. 크기는 마이크로 유심에 대응합니다.

 

 

시험 작동을 위해 연결했습니다.

 

 

보안 토큰을 사용하기 위해서는 전용 클라이언트를 설치해야 합니다.

처음 사용하는 제품은 당연히 PIN이 설정되어 있지 않으므로 사용하실 수 없으며, 프로그램 설치 과정에서 혹은 클라이언트 프로그램 실행 후 PIN (재)설정 메뉴를 통해 비밀번호 설정을 해줘야 합니다.

안에 들어간 IC 칩의 종류에 따라 PIN번호 자리수가 달라지며, 제 경우는 8자 이상 16자 이하의 PIN번호를 설정해야만 했습니다. 초기화 후에는 정상 사용이 가능합니다.

 

 

제조사에서 제공하는 클라이언트를 사용하면 하드디스크나 USB 드라이브에서 공인인증서를 복사해올 수 있습니다.

원칙은 신규발급 시 보안토큰에 발급하는 것이며, 이 경우 보안토큰에서 인증서를 복사할 수 없으므로 인증서 탈취의 위협을 원천적으로 봉쇄하게 됩니다.

다만 이런 경우에는 공인인증서를 복사할 방법이 없으므로 복수의 공인인증서 사용이 불가능해집니다.

이런 사태를 방지하기 위해 제조사 제공 클라이언트는 타 저장소에서 인증서를 복사해오는 기능과 IC 칩 내부에 백업 영역을 지정, IC 칩에 복사가 가능한 영역을 열어 두어 추후 인증서 복사를 가능하도록 허가하여 미연의 사태를 여러 경로로 예방합니다.

 

그러면 실제로 보안토큰을 사용해보도록 합시다.

 

 

익숙한 로그인 화면입니다. 보안토큰 메뉴에서 원하는 플러그인을 선택해줍니다(클라이언트를 설치한 이후에만 선택 가능해짐).

 

 

보안토큰에서 불러온 인증서를 선택하고 PIN번호를 입력합니다. 공인인증서 암호가 아닙니다. 반드시 PIN번호를 입력해야 정상적으로 로그인이 되므로 주의하셔야 합니다. 공인인증서 암호와 동일하게 설정했다면 크게 신경쓰지 않으셔도 됩니다.

 

PIN번호를 입력하고 확인을 누르면 정상적으로 로그인이 이뤄집니다. 일반적인 이동식 디스크에 담긴 공인인증서와 사용법이 크게 다르지 않습니다.

 

 

은행에 따라 클라이언트가 상이해질 수 있습니다.

 

정리하자면, 보안 토큰은 공인인증서 암호화 별개로 PIN번호를 통해 로그인하는 것을 알 수 있으며, 보안 토큰을 사용하기 위해서는 클라이언트 프로그램 설치가 필수라는 점이 현재 오픈 뱅킹이 지향하는 방향과는 다소 거리가 멀다고 평가할 수 있습니다. 요즘 들어 보안 토큰을 점점 찾아보기 힘들어지게 된 이유 중 하나일지도 모릅니다.

 

뭐, 인증서 탈취 자체가 하드웨어 설계 레벨에서 불가능하다는 점에서는 높은 점수를 주고 싶습니다. 그걸 구현하기 위해 PKI API를 별도의 플러그인을 통해 불러오는 게 마음에 안 들 뿐입니다. 높은 보안성과 편의성은 결코 비례할 수 없죠. 하지만 때로는 극악의 보안성과 극악의 편의성은 비례하기도 합니다. 적어도 보안 토큰은 그럴 걱정은 없어 안심입니다.

 

마지막으로 이 물건이 3만 3천원이라는 점이 정말 마음에 안 드네요. 이 가격이 그나마 대중화가 된 가격이지만(조달청 나라장터 입찰용 지문인식 보안토큰은 구입 비용만 7만원 가까이 됩니다), 그럼에도 선뜻 ‘보안을 위해서’ 3만원씩이나 주고, 그것도 플러그인을 주렁주렁 매달고 사용하고 싶지는 않습니다. 어쩌면 생채 보안 인증이 더더욱 활성화되는 주된 이유일지도 모르겠습니다.

 

 

이것으로 짧은 사용기를 마칩니다.

 

읽어주신 모든 분들께 감사를 표합니다.