'액티브X' 걷어내기, 어디까지 왔나?

[미디어잇 노동균] 최근 코드 서명을 위조한 가짜 공인인증 프로그램이 유포됐다는 소식이 전해지면서 폐쇄적인 국내 인터넷 환경 개선을 위한 목소리가 높아지고 있다. 정부가 지난해 초 액티브X 기반의 보안 프로그램은 물론 공인인증서 사용 의무 규정까지 폐지했음에도 불구하고, 여전히 인터넷 갈라파고스를 벗어나지 못하고 있다는 지적이다. 

 

 

액티브X 걷어내기에 대한 본격적인 논의는 지난 2014년 박근혜 대통령이 핀테크 산업 발전의 걸림돌로 액티브 X를 거론하면서 물꼬를 텄다. 이에 금융위원회는 이듬해인 2015년 2월 액티브X를 이용해 설치하는 보안 프로그램 사용 의무 규정을 폐지했다. 잇달아 3월에는 공인인증서 사용 의무 규정까지 손봤다. 물론, 이는 어디까지나 금융권의 선택권을 넓힌다는 차원에서 이뤄진 조치였기에 즉각적이기보다는 점진적인 변화를 기대감을 이끌어냈다.

그러나 국내 인터넷 서비스들은 약 1년이 지난 현재도 1년 전과 상황이 그리 다르지 않다. 대부분 주요 은행들은 액티브X를 통한 플러그인 방식의 보안 프로그램 설치 유도 대신 사용자들이 직접 설치 파일을 내려받아 보안 프로그램을 설치하도록 하고 있다. 계좌이체와 같은 업무는 고사하고, 단순히 로그인만 하려고 해도 적어도 3~4개의 보안 프로그램을 설치해야 한다. 사용자 PC에 설치되는 보안 프로그램은 그대로 두고, 말 그대로 액티브X만 걷어낸 셈이다.

 

또한 국내 사이트들은 플러그인에 의존하는 비중도 여전히 높은 편이다. 미래창조과학부와 한국인터넷진흥원에 따르면, 지난해 9월 기준으로 국내 100대 사이트를 대상으로 실시한 조사 결과 13개 사이트가 액티브X, 28개 사이트가 NPAPI 호환성을 제공하지 않는 것으로 집계됐다. 특히 민간 사이트보다는 공공 사이트의 액티브X 걷어내기가 지지부진해 현재도 일부 지자체에서는 홈페이지 내 액티브X 제거 작업이 한창 진행되고 있기도 하다.

앞서 한국인터넷진흥원은 지난해 약 23억원을 투자한 웹 표준 전환 지원 및 선도 서비스 개발지원 사업을 통해 37개 기업 사이트에서 액티브X 제거를 지원한 바 있다. 올해도 약 25억원을 들여 사이트 전환, 웹 솔루션 개발 및 도입, 차세대 웹 선도 서비스 개발 등을 지원한다는 계획이다. 그러나 민간 주도적으로 액티브X를 걷어내고자 하는 노력 없이 정부 지원만으로는 한두 해로 끝나지 않을 것이라는 게 업계의 중론이다.

이미 전 세계적으로 액티브X는 물론, 웹 브라우저의 플러그인 기능은 퇴출되는 분위기다. 구글은 오는 6월 30일부터 자사 광고 서비스에 어도비 플러그인 플래시 기반의 광고를 제한하고, 내년 1월 2일부터는 아예 지원을 중단한다. HTML5 기반의 웹 표준 기술로 해당 기능을 대체할 수 있기 때문에 굳이 보안이 취약한 플러그인을 사용할 이유가 없다는 이유에서다. 앞서 지난해 9월 구글은 크롬 브라우저에서 액티브X와 비슷한 기능을 맡았던 NPAPI에 대한 지원을 중단하기도 했다.

국내에도 액티브X를 대체할 수 있는 솔루션은 충분히 개발돼 있는 상태다. 또한 최근 핀테크 열풍으로 인해 보안 업계에서는 액티브X 없이 웹 표준에 기반해 별도의 프로그램 설치 없이 안전한 결제가 가능하게 하는 기술들을 잇달아 선보이고 있다. 근거리 무선통신(NFC)이나 유심(USIM) 등을 활용해 다양한 보안 매체와 연계하는 방식이 대표적이다. 아직은 사용처가 제한적이지만, 웹 표준을 지향하고 있다는 점에서는 고무적이라 할 만하다.

공인인증서의 경우에도 지문인식 등 생체인증으로 대체하고자 하는 움직임이 활발하다. 특히 파이도(FIDO, Fast IDentity Online) 기반의 생체인증 기술이 급부상하면서 국내 업체들도 관련 표준 기술 확보에 속속 뛰어들고 있다. 다만, 여전히 금융권을 중심으로 공인인증 기술을 버리지 못하고 있어 사용자들이 얼마나 실사용 환경에서 변화를 체감할 수 있을 것인지는 미지수다.

업계 관계자는 "최근 일부 금융사에서 도입하고 있는 지문인식 등의 신기술도 아직은 기존의 공인인증을 대체하기보다는 보완하는 차원에 머물러 있다"며 "지난 1년 동안 급속도로 발전한 핀테크 산업에 비하면 액티브X 걷어내기는 여전히 형식에 머물러 있는 수준"이라고 말했다.

노동균 기자 saferoh@chosunbiz.com