서승현 ([email protected])

한양대학교 ERICA 전자공학부  교수

COVID-19가 불러온 비대면의 일상화, 디지털 신원증명의 필요성

사물인터넷(IoT), 인공지능, 블록체인 등 혁신적인 4차 산업혁명의 최신 정보통신(ICT) 기술들이 등장하면서 기존 산업과 디지털 기술간 융합을 바탕으로 이종 산업 간의 경계가 사라지는 빅블러(Big Blur) 현상이 시작되었다. 기존 플라스틱 금융카드 기반의 결제를 대신하는 핀테크 서비스, 카카오 택시, 네이버쇼핑, 배달의 민족, 쿠팡이츠 등 스마트폰을 통해 오프라인에서 영업 중인 사업자와 실소비자를 연결해 주는 O2O(Online to Offline·온라인과 오프라인 연결 서비스) 업체들도 빅블러 현상의 대표적인 예이다.⁽¹⁾ 특히 COVID-19 상황으로 인한 비대면의 일상화는 이러한 빅블러 현상을 더욱 가속화하고 있으며, 우리 사회 산업 전반의 여러 분야 서비스들을 빠르게 디지털 서비스로 전환시키고 있다.

우리 사회가 디지털전환 사회로 변화함에 따라 사용자들은 온라인상으로 개인의 신원을 증명을 해야 할 일이 더욱 많아졌다. 여기서 “신원(ID)”이란 개개인을 식별할 수 있는 정보를 의미하며, 이름, 나이, 성별, 주소, 직업 등 자신을 다른 사람과 구분 가능하게 하는 일반적인 정보뿐만 아니라 취미, 소유하는 물건, 선호하는 음악이나 음식, 특정 사람들과의 관계 등 자신과 관련된 모든 정보가 될 수 있다.⁽²⁾ 현재 대면 환경에서 사용하는 주민등록증, 운전면허증과 같은 오프라인 신분증은 주민등록번호나 이름, 나이, 주소 등의 한정된 정보로만 사용자의 신원을 표현하고 있고, 온라인상에서 신원을 증명하기에는 한계가 있으며, 사용자가 개인 프라이버시 관련된 정보를 제외하고 서비스 제공자가 요구하는 정보만 선택해서 인증하는 것이 현재의 신분증 기반 신원증명 체계에서는 불가능하다.

따라서 온라인 상의 여러 서비스를 간편히 받기 위해서는 “내가 나임”을 증명할 수 있고, 물리적 신분증(주민등록증, 운전면허증, 여권 등 오프라인에서 사용하던 신분증)을 대체할 새로운 디지털 신분증과 새로운 디지털 신원증명 체계가 필요하다. 본 고에서는 최근 차세대 디지털 신분증이라 불리며 주목을 받고 있는 분산신원증명 모델의 개념 및 특징, 국내외 서비스 현황 및 표준화 동향 등을 간략히 살펴보고, 한국인터넷진흥원의 생애주기형 분산ID 서비스 활성화 방안 연구 과제를 수행하며 정의한 생애주기형 분산신원증명 서비스 모델을 소개하고자 한다.

차세대 디지털 신분증, “분산신원증명(DID: Decentralized IDentifier)”

기존 온라인 디지털 서비스에서는 사용자가 각 서비스 사이트마다 아이디를 생성하고 비밀번호를 입력함으로써 본인 확인 절차를 거치는 개별 신원증명 모델을 사용하여 사용자를 식별하였다. 개별 신원증명 모델은 사용자가 이용하는 사이트가 늘어날수록 아이디, 비밀번호 관리에 대한 부담이 늘어나는 구조이며, 각 서비스의 제공기관이 개별적으로 사용자의 개인정보를 관리하므로 각 서비스 제공기관이 해킹대상이 되면 사용자의 개인정보가 여러 시스템에서 해킹될 수 있는 등의 문제점이 존재하였다.⁽³⁾

이에, 사용자의 프라이버시를 보호하고 각 서비스제공기관마다 사용자 인증정보 및 개인정보를 관리함에 따른 문제점을 해결하고자 사용자 스스로 자신의 신원정보를 관리하고, 신원정보의 노출범위를 결정할 수 있으며 사용 목적에 따라 신원정보에 대한 주권을 행사할 수 있는 자기주권 신원증명(이하 SSI, Self-Sovereign Identity) 모델⁽⁴⁾이 등장하였다.

그림 1에서 보여지는 분산신원증명(이하 DID, Decentralized Identity) 모델은 블록체인을 기반으로 한 자기주권 신원증명 체계로, 블록체인에서 사용하고 있는 암호기술을 기반으로 신뢰된 탈중앙형 ID 저장소를 구현하였고, 전통적인 서버-클라이언트 형태의 중앙집중형 신원관리 모델 체계와는 달리, 사용자가 자신의 신원정보를 스스로 관리하고 제출범위와 제출대상을 통제할 수 있다. 분산신원증명은 지속성, 휴대성, 개인정보보호, 피어기반의 특징을 가진다.⁽⁵⁾

분산신원증명의 특징

• 지속성(consistency): 특정 서비스 제공자에 의해 신원정보가 관리되지 않으므로, 외부적 환경의 변화와 관계없이 사용자가 자신의 신원정보를 지속적으로 사용가능함 •휴대성(portability): 신원증명이 필요한 경우 언제든 사용자 스스로 스마트폰이나 ID카드 등으로 신원정보를 선택 후 제공이 가능함 • 개인정보 보호(privacy): 사용자가 스스로 신원정보를 관리하므로, 서비스 제공자는 서비스에 필요한 정보 이외의 사용자의 개인정보는 확인이 불가능함. 또한, 분산원장 기반의 신뢰된 ID저장소 내에는 개인정보를 평문으로 저장하지 않으며, 개인정보가 포함된 신원정보는 암호화 등의 조치를 수행하거나 블록체인내의 분산원장이 아닌 별도의 오프체인에 저장함 • 피어(peer)기반: 신원정보의 발행 검증은 특정기관에 종속적이지 않고, 피어기반으로 독립적으로 운영하며, 누구나 필요한 신원정보를 생성하고 이용 가능함. 단, 사용자의 신원을 최초로 검증할 수 있는 최소한의 신뢰된 기관이 필요함

분산신원증명 모델의 구성요소

분산신원증명 모델의 구성요소는 DID(Decentralized Identifier) 및 DID Document, VC(Verifiable Credential, 검증 가능한 자격증명), VP(Verifiable Presentation, 검증 가능한 제공 ID 데이터 집합)이며, 분산신원증명 모델의 주요 참여자는 Issuer(발행인), Holder(사용자), Verifier(검증인), DID관련 정보를 저장하는 신뢰 분산저장소인 블록체인이다.

DID 및 DID Document는 식별자 및 인증 수단으로 사용되며, Issuer(발행인)가 발행하는 VC는 보관용 ID로 사용된다. VC는 사용자가 발행기관으로부터 발급받은 신분증, 졸업증명서, 재직/재학 증명서, 입퇴원확인서 등과 같은 신원증명을 의미한다. 사용자는 VC내에서 필요한 신원정보만 추출하여 VP로 가공해서 서비스 제공자에게 제출한다. VP는 제출용 ID로 사용되는데 Holder(사용자)가 VC를 발급받은 후 VP로 가공하여 검증기관에 제출한다. 검증기관 Verifier(검증인)는 사용자로부터 VP를 수신하여 VP의 진위를 검증한다. VP를 수신한 검증기관은 VP를 올바른 사용자로부터 수신했는지 VP의 제출자 DID를 통해 알 수 있고, VP내 포함된 VC 속성을 가진 사람이 해당 사용자가 맞는지는 VC내에 명시된 Subject DID를 통해 알 수 있다. 또한 VP내에 포함된 VC 속성값이 어떤 발행기관에서 발행되었는지는 발행기관의 DID를 통해 알 수 있다. 검증기관은 VP내에 존재하는 VC의 Subject DID가 진짜 사용자의 것인지는 DID Auth를 통해 알 수 있고, VP 및 VC내에 포함된 전자서명 값도 DID Document를 통해 검증할 수 있다. ⁽⁶⁾

국내외 분산신원증명 서비스 현황 및 표준화 동향

현재 국내외에서 추진하고 있는 분산신원증명 서비스 현황은 표 1, 2에 각각 간략히 소개하며, 국내외 표준화 동향은 표 3에서 소개한다.

[표 1] 국내 분산신원증명 서비스 현황

[표 2] 해외 분산신원증명 서비스 현황

서비스 모델명	개발기관	참여국가	적용 분야	내용
ShoCard(10)	스타트업 ShoCard, Inc.	미국	모바일신원 기반 관리 플랫폼	– 모바일 사용자 인증 애플리케이션 구현, SITA, OneLogin 등 9개 회사와 연계 – 기존 신뢰 기관을 통해 발급된 신원증명서류(면허증 등)를 스캔하여 신원정보 생성 가능
uPort(11)	ConsenSys	유럽	신원 및 문서검증, 전자투표	– 스위스 주크(Zug)시의 전자투표(12), 브라질 정보의 분산ID 기반 사용자 신원 검증 등에 적용 – 이더리움 기반으로 구현, 공개키는 별도 분산파일시스템에 보관하여 관리 – 2021년에 uPort 프로젝트가 Serto와 Veramo로 분리
Sovrin(13)	Sovrin 재단	여러국가	인터넷자기주권신원, 투표	– 비즈니스에 필요한 간접비용의 감소 및 유동성 있는 데이터 공유 가능 – ‘Sovrin Trust Framework’을 제정하고 공개 허가형 블록체인을 기반 – IBM의 Hyperledger Indy는 Sovrin 소스 기반으로 분산ID 관련 프로젝트 진행 중
World Identity Network(14)	유엔난민기구(UNHCR)	리비아 등	이민자신원확인	– 아동 인신매매 문제를 해결하기 위해 이민자 신원확인 목적- 가계도 전체에 걸쳐 신분을 표시하고 다른 가족 구성원들이 블록체인에 디지털 서명

[표 3] 국내외 분산신원증명 서비스 표준화 동향

표준화기관	내용
W3C(15)	– 2016년 개최된 블록체인 워크샵을 통해 블록체인 기반의 ID를 표준화하자는 의견이 개진되었고, 워크샵 이후 기본 표준 초안을 만들고 W3C(World Wide Web Consortium)에서 정식으로 DID 워킹 그룹이 제안됨 – 2018년 W3C에서 DID 워킹 그룹이 공식적으로 결성됨. 현재 DID 워킹 그룹은 Decentralized Identifier Use cases & Requirements, Decentralized Characteristics Rubric 등 2개의 그룹 노트 문서 작업과 Decentralized Identifiers Data Model and Syntax 1개의 공식 표준 문서 등 총 3개의 문서를 개발 중
ITU-T(16)	– ITU-T(International Telecommunication Union Telecommunication Standardization Sector)는 국제전기통신연합(ITU)산하의 전기통신 분야 국제 표준화 기관으로 2017년부터 블록체인 표준화를 시작함. – ITU-T는 ISO/IEC와 공동으로 분산 공개키 알고리즘을 적용하여 분산 원장 상에서 X. 509를 이용하기 위한 표준을 개발하였으며, 2020년 분산ID 권고를 신규워크아이템으로 제안하였고 분산 ID(X.1403)를 위한 국제 표준으로 채택함
DIF(17)	– DIF(Decentralized Identity Foundation)는 분산ID 생태계를 구축하고자 관련 이해관계자들이 모여 설립한 재단이며 마이크로소프트, IBM과 같은 IT 기업과 마스터카드 등의 금융사, Sovrin, uPort등의 분산ID 플랫폼 개발 기업이 참여하고 있으며, 분산ID 생태계 구축을 목표로 분산ID 관련 기술 및 규격 개발 중에 있음
TTA(18)	– 국내에서는 TTA(Telecommunications Technology Association) 등 표준화단체를 중심으로 분산ID기반의 신원증명에 대한 유즈케이스 및 분산ID를 이용한 사물인터넷 검색 프레임워크를 개발 중 – PG502(개인정보보호 ․ ID관리, 블록체인보안)는 블록체인 기반 ID 관리, 디지털 거래 등 응용 보안 기술, 그리고 블록체인 기반 사물인터넷 디바이스 및 자원 검색 프레임워크에 대한 표준을 개발 중 – PG222(인터넷 주소 자원, 디지털식별자 표준 개발)는 자기주권 ID 관리 유즈케이스, 요구사항 및 구조, 블록체인을 활용한 DNS, 스마트차량용 ID 등의 표준 개발을 진행 중 – ISO/TC307, ITU-T SG13, SG17, SG20, W3C, IEEE 등 블록체인 기반기술 분야 국제 표준화 단체와의 협력을 추진하고 있음

생애주기형 분산신원증명 서비스 모델

사용자 편의를 위해 현재 정부24 홈페이지⁽¹⁹⁾에서 정부가 온라인으로 증명서 발급서비스를 제공하고 있는 분야는 아래 그림과 같다. 디지털 전환사회를 맞이하여, 우리의 생애주기별로 각 분야(그림 2 증명발급 서비스 참고)에서 온·오프라인에서 발급되고 있는 각종 증명서 및 신분증 등을 VC로 전환하고 사용자가 증빙하는데 필요한 정보들만을 VC들로부터 추출하여 제출용 신분증, VP를 만들어 제출할 수 있는 생애주기형 분산신원증명 서비스 모델⁽²⁰⁾이 필요하다.

생애주기형 분산신원증명 서비스 모델(그림 3 참고)이란 사용자의 생애주기 동안 발생하는 신원증명을 통합적으로 관리하고 발급하는 모델을 말한다. 생애주기형 분산신원증명 서비스 모델에서는 기존의 주민등록번호와 같이 사용자는 출생 직후 국가 기관을 통해 생애주기형 DID를 발급받고, 이를 기반으로 사용자는 생애주기 동안 의료, 금융, 교육, 공공 등 생활 전반 모든 분야에서 활동에 필요한 신원증명 및 자격증명 등을 서비스 제공자에게 제공할 수 있다. 사용자가 신원증명 및 자격증명을 하는 과정에 있어서 개인 스스로 개인정보 노출 수준을 조절하며 신원관리를 수행할 수 있다. 생애주기형 분산신원증명의 구성 요소는 식별자인 생애주기형 DID, 사용자가 발행기관으로부터 발급받은 신원증명서인 생애주기형 VC, 사용자가 생애주기형 VC로부터 제출할 정보만 가공하여 만든 제출용 신원증명서, 생애주기형 VP 3가지로 구성된다.

생애주기형 DID

생애주기형 DID는 사람의 생애주기 동안 이용되는 신원식별자로 주민등록번호, 여권번호, 학번 등이 이에 해당한다. 주민등록번호는 생애 첫 발급받는 분산ID로서 생애주기형 DID의 신원식별자 중 주식별자(Primary ID)에 해당된다. 그림 4에서 보이는 바와 같이 생애주기형 식별자 DID의 예로 주민등록번호, 여권번호, 학번, 교원번호, 사번, 의원번호, 환자번호, 사업자등록번호, 장애인등록번호, 외국인등록번호 등이 있다.

생애주기형 VC

생애주기형 VC는 사람의 생애주기 동안 발급받는 각종 증명서, 확인서 등을 말하며, VC의 사용 목적에 따라 아래와 같이 총 5가지의 VC 종류로 분류할 수 있으며, 정부 24 사이트⁽²¹⁾에서 발급 서비스를 제공하는 각종 증명서들을 생애주기의 단계별(영유아, 아동청소년, 청년, 중장년, 노년)로 필요한 VC 목록으로 나누어 정리한 예시는 표 4에 있다.

• 신원확인형 VC: 발급 시 생애주기형 분산ID 검증을 필요로 하며 개인의 신원을 증명하는 VCex) 주민등록등본, 가족관계증명서, 여권 등 • 자격증명형 VC: 발급 시 생애주기형 분산ID 검증을 필요로 하며 특정 서비스를 이용하기 위해 필요한 개인의 자격 또는 소속을 증명하는 VCex) 운전면허증, 학생증, 사원증, 여권(출‧입국 자격) 등 • 상태증명형 VC: 발급 시 생애주기형 분산ID 검증을 필요로 하며 개인의 현재 상태를 증명하는 VCex) 의사소견서, 재직증명서 등 • 활동이력증명형 VC: 발급 시 생애주기형 분산ID 검증을 필요로 하며 특정 활동이력, 경력을 증명서에 대한 VCex) 소득금액증명서, 건강보험자격득실확인서, 통장거래내역서, 학원강사 사실확인서 등 • 소유증명형 VC: 발급 시 생애주기형 분산ID 검증을 필요로 하며 건물, 토지, 차량 같은 사유 재산에 대한 소유를 증명하는 VCex) 자동차 등록원부등본, 부동산 소유 현황, 토지대장등본 등

[표 4] 생애주기 단계별 VC

생애주기 단계	VC
영유아(0~5세)	출생증명서, 예방접종 증명서
아동청소년(6~18세)	청소년증, 입학증명서, 재학증명서, 성적증명서, 초중등학교 졸업증명서, 검정고시 합격증서
청년(19~34세)	재직증명서, 급여명세서, 근로계약서, 주민등록증, 연봉계약서, 국가기술자격 취득사항 증명서, 운전면허증, 혼인관계증명서, 이혼증명서, 범죄경력증명서, 운전경력증명서, 병적증명서, 혼인신고서, 졸업증명서, 성적증명서, 재학증명서, 소득금액증명서, 납세사실증명서
중장년(35~64세)	경력/퇴직 증명서, 전자세금계산서, 납부/납세 증명서, 표준재무제표증명서, 소득금액 증명서, 사업자등록증
노년(65세~)	국민기초생활수급자증명서, 국가유공자증명서, 5.18/특수임무 증명서, 차상위 본인부담 경감증명서, 노인 장기요양 인증서, 복지용구 급여확인서

생애주기형 VP

생애주기형 VP는 발급받은 생애주기형 VC에서 자신이 제출 또는 증빙하고 싶은 정보만을 담아서 만든 증명서이다. 예를 들어, 취업을 위해서 주민등록등본, 신분증 사본, 건강보험자격득실확인서, 가족관계증명서, 4대보험 가입내역확인서, 졸업증명서, 성적증명서, 각종 자격증 등이 필요하다. 그러나 이들 증명서에는 중복된 정보들 뿐 아니라 주소 변동 내역, 병역, 부모님 직장 내역 등 노출하고 싶지 않은 정보들까지 포함되어 있다. 생애주기형 VP에서는 이러한 증명서를 생애주기형 VC로 발급받고 필요한 정보만을 스스로 포함시켜 사용함으로써, 자신이 선택한 정보를 담은 신분증으로서 역할을 할 수 있다.

생애주기형 분산신원증명 서비스 모델 활용 시나리오

정부 24 사이트의 취업·직장분야 증명 발급 서비스는 입사, 이직, 퇴직 등 개인의 취업 및 직장 생활을 증명하거나, 개인과 기업 간의 관계를 확인해주는 다양한 증명서를 발급한다. 정부 24 사이트의 취업·직장분야 증명발급 서비스를 생애주기형 분산신원증명 서비스 모델로 변환하는 시나리오를 생각해보면, 그림 6에서 보여지는 바와 같이 사용자는 개인의 취업 및 직장 관련 데이터를 기업 및 고용노동부와 같은 발급기관(Issuer)로부터 생애주기형 VC로 발급을 받고 해당 VC를 요청하는 기관에 생애주기형 VP로 생성하여 제출할 수 있다. 이때 개인뿐만이 아니라 기업이 주체가 되는 데이터에 대한 증명서가 발생 가능하여 Holder는 개인 또는 기업이 될 수 있다. VC를 생성하는 Issuer는 기업, 고용노동부 등이 있으며 생성된 VC로는 경력증명서, 업무계약서, 근로계약서 등이 있다.

< 생애주기형 분산신원증명 모델에서 개인 신용대출신청 시나리오 > – 직장인 A씨는 신용대출을 받기위해 은행B에 각종 증명서를 제출하려한다. A씨는 재직회사, 주민센터에서 준비 서류를 발급받아 은행B에 제출해야한다. 따라서 A는 준비 서류를 발급처로부터 VC 형태로 발급받고 이를 토대로 VP를 가공하여 은행B에 제출하고자 한다. 이때 A는 VC 발급기관인 기업에 자신의 생애주기형 DID를 등록했다고 가정한다. 개인대출을 위해 필요한 VC는 다음과 같으며, 전체 시나리오는 그림 7에서 보여진다.   ‧ 재직증명서 ‧ 근로자원천징수영수증 ‧ 주민등록등본

(1-1) 재직증명서가 필요한 A(Holder)는 재직회사(Issuer)에게 자신의 분산ID를 제출하고 발급 가능한 VC목록을 요청한다. (1-2) 근로자원천징수영수증이 필요한 A는 국세청(Issuer)에게 자신의 분산ID를 제출하고 발급 가능한 VC목록을 요청한다. (1-3) 주민등록등본이 필요한 A는 주민센터(Issuer)에게 자신의 분산ID를 제출하고 발급 가능한 VC목록을 요청한다. (2-1) 재직회사는 A가 제출한 분산ID에 대한 소유자 검증을 한다. (2-2) 국세청은 A가 제출한 분산ID에 대한 소유자 검증을 한다. (2-3) 주민센터 A가 제출한 분산ID에 대한 소유자 검증을 한다. (3-1) 재직회사는 A가 발급 가능한 VC 목록을 A에게 전송한다. (3-2) 국세청는 A가 발급 가능한 VC 목록을 A에게 전송한다. (3-3) 주민센터 A가 발급 가능한 VC 목록을 A에게 전송한다. (4-1) A는 필요한 서류에 대해 재직회사에 VC들에 대한 발급을 요청한다. (4-2) A는 필요한 서류에 대해 국세청에 VC 발급을 요청한다. (4-3) A는 필요한 서류에 대해 주민센터에 VC 발급을 요청한다. (5-1) 재직회사는 요청한 VC들을 생성하여 A의 전자지갑에 전달한다. (5-2) 국세청은 요청한 VC를 생성하여 A의 전자지갑에 전달한다. (5-3) 주민센터는 요청한 VC를 생성하여 A의 전자지갑에 전달한다. (6) A는 제출할 VC들을 토대로 은행B에 제출할 VP를 생성한다. (7) A는 자신이 생성한 VP를 은행B에 전달한다. (8) 은행B는 VP의 유효성을 검증 후 대출을 실행한다.

맺음말

본 고에서는 비대면의 일상화가 불러온 급속한 디지털 전환 사회를 대비하여 온라인상의 여러 서비스를 편리하게 받기 위해 선행되어야 하는 차세대 디지털 신분증인 분산신원증명 모델의 개념 및 특징, 현재 국내외 서비스 사례, 표준화 동향 등을 간략히 살펴보았다. 또한 사용자의 생애주기별로 각 분야에서 발급되고 있는 각종 증명서 들을 VC 형태로 발급받고 사용자가 증빙하는데 필요한 정보들만을 VC들로부터 추출하여 제출용 신분증인 VP를 만들어 사용할 수 있는 생애주기형 분산신원증명 서비스 모델에 대해서 소개하고 간단한 서비스 시나리오를 살펴보았다.

생애주기형 분산신원증명 모델은 사용자가 생애주기형 DID를 활용하여 의료, 금융, 교육, 공공 등 생활 전반 각 분야의 활동에서 필요한 신원증명 및 자격증명을 발급받고, 개인 스스로 본인의 프라이버시 정보 노출 수준을 조절하여 필요한 신원 정보들만 서비스 제공자에게 제공할 수 있어, 각 서비스제공기관 마다 사용자의 모든 인증정보 및 개인정보를 저장 및 관리하는 위험성을 제거하고, 개인의 프라이버시를 보호하며 개인의 데이터 주권을 강화할 수 있는 기반 기술로 활용 될 것으로 기대된다.

본 원고는 KISA Report에서 발췌된 것으로 한국인터넷진흥원 홈페이지(https://www.kisa.or.kr/public/library/IS_List.jsp)에서도 확인하실 수 있습니다.

KISA Report에 실린 내용은 필자의 개인적 견해이므로, 한국인터넷진흥원의 공식 견해와 다를 수 있습니다.

KISA Report의 내용은 무단 전재를 금하며, 가공 또는 인용할 경우 반드시 [한국인터넷진흥원, KISA Report]라고 출처를 밝혀주시기 바랍니다.