VDSIC(Visible Digital Seal International Council)는 2016년 파리에 설립된 프랑스 비영리 협회로, 문서·제품에 인쇄된 2차원 바코드로 위·변조를 검증하는 VDS(가시적 전자봉인)의 국제 거버넌스를 담당한다. VDS 기술규격과 보안정책을 제정하고(ISO 22385, ISO 22376 정합), 최상위 신뢰 앵커인 Root LoTL을 운영하며, 스킴 운영기관을 인가·감독한다. 회원은 정부기관, 인증기관(CA), 신뢰서비스제공자(TSP)로 구성된다.
즉 회원 포털에서 오가는 자료는 루트 신뢰 목록, 스킴 인가 심의, 표준 초안 등 공개 전 단계의 민감 정보다. 포털의 인증 강도가 곧 신뢰체계 전체의 문제로 이어진다.
이메일 OTP의 한계
기존 포털은 ID를 입력하면 가입 이메일로 OTP 코드를 보내고 사용자가 직접 입력하는 방식이었다. 매번 메일함을 여는 불편, 피싱을 통한 실시간 중계(relay) 공격 시 코드 탈취 가능성, 그리고 생체인증 미연동으로 “메일 접근 권한이 있는 누군가”까지만 검증된다는 문제가 있었다.
ITU-T X.1283(09/2024)도 일부 패스워드리스 구현이 기존 취약점을 승계한다고 지적한다.
id3 Technologies가 적용한 X.1280
VDSIC의 프랑스 기술 회원사 id3 Technologies가 포털에 Passwordless X.1280을 연동했다. ITU-T X.1280(03/2024)은 모바일 기기를 이용한 대역 외(out-of-band) 서버 인증 프레임워크로, 핵심은 검증 순서의 역전이다. 사용자가 먼저 자신을 증명하는 대신 접속한 서비스가 진짜인지 먼저 확인한 뒤 인증 정보를 제공해, 검증자 사칭(verifier impersonation)을 차단한다.
화면에 인증 코드가 자동 표출되고 사용자의 스마트폰에도 같은 코드가 생성된다. 두 코드를 비교해 일치하면 생체인증으로 승인한다. 입력할 코드가 없으니 입력 과정의 탈취가 성립하지 않는다.
| 구분 | 기존 OTP | X.1280 |
|---|---|---|
| 코드 전달 | 이메일 발송 | 화면 자동 표출 |
| 사용자 동작 | 직접 입력 | 비교 후 승인 |
| 검증 방향 | 단방향 | 상호 인증 |
| 본인 확인 | 없음 | 생체인증 |
"보안성이 낮은 OTP 인증을 보다 안전한 X.1280 기반으로 개선하면서, 보안성과 편의성을 동시에 높일 수 있었습니다. 앞으로 다른 온라인 서비스에도 계속 확대 적용해 나갈 계획입니다."
X.1280은 특정 벤더 규격이 아니라 공개된 ITU-T 국제표준 권고다. 문서의 진위를 국가 단위로 보증하는 조직조차 자체 포털은 이메일 OTP에 의존하고 있었다는 점은, 인증 방식의 갱신이 얼마나 뒤로 밀리기 쉬운지를 보여준다. 이번 전환은 사용자 동작을 줄이면서 검증 강도를 높였다.
Christophe Candela — 패스워드리스 얼라이언스 프랑스 기술대표(Technical Representative)
25년 이상 생체 인식, 암호학 및 임베디드 신원 확인 소프트웨어 분야에서 경력을 쌓아온 엔지니어인 크리스토프는 현재 생체 인식, 보안 문서 및 신뢰 서비스를 전문으로 하는 프랑스 기술 기업 id3 Technologies에서 혁신 부사장(VP Innovation)으로 재직 중이며, 생체 인식 연구소를 총괄하고 회사의 인증 및 디지털 신뢰 포트폴리오를 이끌고 있습니다. 그는 PKI 및 인증서 수명 주기 관리에 대한 전문 지식을 바탕으로, Match-on-Card 인식 및 ISO 22376과 ISO 22385에 부합하는 Visible Digital Seal 기술과 같은 표준 기반 신뢰 인프라를 포함하여, 리소스가 제한된 플랫폼을 위한 생체 인식 알고리즘 및 임베디드 소프트웨어에 대한 실무 경험을 결합하고 있습니다. 그는 디지털 신원 및 문서 인증 분야의 국제 표준화 및 상호운용성 작업에 기여하고 있으며, VDS 국제 협의회(VDSIC)와 패스워드리스 얼라이언스(Passwordless Alliance)에서 활발히 활동하고 있습니다.