한나라당 (서울 성동갑)

국회의원 진 수 희

대한민국 국회

The National Assembly of the Republic of Korea

서울시 영등포구 여의도동 1번지 국회의원회관 332호

Tel (02)788-2138  Fax (02)788-3332

Home  http://www.sheechin.org  Email sheechin@assembly.go.kr

2008년 10월 20일 월요일

보 도 자 료

2008년도 기획재정위원회 국정감사

[ 한 국 은 행 ]

IC카드 복제 위험에 노출!!

- 금융IC카드 부채널공격에 취약! 안전성 검증 안 된 카드는 전량 교체해야! -

- 한국은행의 [금융IC카드 표준] 개정 필요  -

○ 진수희 의원은 복제가 불가능해 안전하다고 알려진 IC카드가 여전히 복제가 가능하며, 복제 가능한 금융IC카드를 교체하지 않는 한 복제로 인한 금융사고의 위험에 노출되어 있다고 밝혔다.

○ MS(Magnetic Stripe, 자기띠)방식의 신용․체크․현금카드가 불법복제가 쉽게 이루어져 금융사고가 발생함에 따라 한국은행의 금융정보화추진위원회는 이 같은 금융사고를 막기 위해, 1996년부터 IC카드 표준을 제정하고 IC카드 표준화를 주도해왔다.

하지만 일반적인 IC칩은 동작시 소비되는 전력소모량을 정밀분석하면 IC칩 내부의 중요한 정보를 획득할 수 있는 부채널공격에 취약점을 갖고 있어 이에 대한 대비책이 필요하나, 한국은행 산하 ‘금융정보화추진위원회’에서 만든 [금융IC카드 표준]에는 부채널공격에 대한 항목이 그동안 없었고 최근 개정(‘07년 11월)된 표준에는 일부 항목에 선언적으로만 들어가 있어, 이전에 만들어진 IC카드는 부채널 공격에 안전하다고 말할 수 없다.

한국전자통신연구원(ETRI)이 제출한 자료에 의하면, “금융IC카드에서 부채널 공격 방지 기술이 내장 되어 있지 않다면 부채널 공격으로 거래상에 위험을 노출할 우려가 있다”고 지적하고 있으며,

국가보안기술연구소(NSRI)도 제출자료에서, “실험결과는 비밀로 분류되어 밝힐 수 없지만, 암호키 추출 가능성이 존재한다.”고 밝히고 있다.

정보보호진흥원(KISA)은 “(전자여권에서도 사용되는) IC칩 요소기술 분석에서 발견된 키정보 유출 가능성 취약점이 있어, 관련업체에 통보하고 조취를 취했다”고 자료에서 밝히고 있다.

○ 진수희 의원은 “국제표준과 EMV(신용카드 구현 평가기준)에는 IC칩에 대한 DPA/EM 등 부채널공격 안전성 검증항목이 2000년 이후부터 있었으나, 한국은행이 만든 [금융IC카드 표준]에는 이러한 내용이 있지 않아 IC카드 복제에 대한 안전장치가 없다.”며,
“조속한 시일내에 [금융IC카드 표준]을 개정하여 불법복제에 대해 선제적으로 대응해야하며, 기존에 발급되어 있는 복제 가능한 IC카드를 전량 회수․교체해야 한다.”고 말했다.

이에 대해 금융감독원이 “복제 가능성이 있는 카드는 일부에 불과하다.”고 주장한 데 대해 진의원은 “EMV표준에 따라 만들어진 카드를 제외한 나머지 카드는 부채널공격에 안전한지 검증이 되지 않았다. 이는 복제의 위험에 사실상 노출되어 있다고 봐야한다.”며 “금감원과 한국은행은 부채널공격에 안전성 검증을 실시하여, 복제로 인한 금융사고를 사전에 예방하고 국민들이 안전하게 금융거래를 할 수 있도록 해야 한다.”고 말했다.

○ MS 카드 vs IC 카드 비교

구분	MS 카드	IC 카드
용도	신용카드, 신분증, 의료카드 등 제한적	현금/직불/신용카드, 전자화폐, 의료카드, 신분증 등 광범위
기능 추가	불가능	가 능
위변조․복제	가 능	불가능(가능)
데이터 암호화	불가능	가 능
저장 용량	226byte	2～64Kbyte
1장당 가격	약 200원	약 2,000~10,000원

(출처 : 금융감독원, 한국은행)

○ 부채널 공격(분석)이란?
암호 모듈 내의 암호 알고리즘이 동작할 때 발생하는 전기소모량, 전자기 신호량, 열 등의 정보를 수집 분석하여 암호키를 찾아내는 방법

○ DPA 방식이란?

DPA(Differential Power Analysis, 차분전력분석)은 IC카드가 동작하기 위해서는 IC카드 내부로 전기를 공급해 주어야 하며, IC카드 내부에서 모든 데이터는 0과 1의 값으로 표현되어 처리

이때 0과 1이 처리될 때 소모되는 전기량이 달라, 특정 시점에서 전기소모량을 측정하면 전기 소모량으로 데이터가 어떤 값을 갖고 있는지 알 수 있어, 결국 암호키를 찾아 낼 수 있음

○ 현재 IC카드로 전환된 현금․체크․신용카드 개수와 보안취약에 안전하지 않은 IC카드의 개수

복제안전성이 검증되지 않은 IC카드는 금융감독원으로부터 정확한 개수가 제출되지 않았으나,
사전에 한국은행과 금감원의 자료에 의하면, ‘07년 12월 현재 IC신용․체크카드는 5,089만장(76.7%)가 발급되어 있으며, 현금카드는 3,509만장(90%) 가량 발급되어 있음.