Passwordless Alliance와 Secure Identity Alliance(SIA)가 교차 제휴 회원(Affiliated Member)으로 참여하기로 했습니다. 이번 합의는 우종현 의장이 SIA 회원사들 앞에서 “Linking Identity and Passwordless X1280″을 발표한 것이 계기가 되었습니다.
SIA는 벨기에 브뤼셀에 본부를 둔 국제 비영리 협회입니다. 각국 정부와 신원 관련 기업이 회원으로 참여하며, “모두를 위한 신뢰할 수 있는 신원(legal, trusted identity for all)”을 목표로 삼고 있습니다. SIA가 개발한 OSIA(Open Standards Identity API)는 2024년 ITU-T X.1281(“APIs for interoperability of identity management systems”)로 국제표준이 됐습니다. X.1281은 출생 등록, 생체정보 관리, 신분증 발급처럼 서로 다른 업체가 만든 국가 신원관리 시스템을 공통 API로 연결하는 표준입니다. 이 표준을 따르면 정부는 특정 업체에 묶이지 않고(vendor lock-in 방지) 신원 체계를 구축하고 확장할 수 있습니다.
Passwordless Alliance는 패스워드가 없는 안전한 온라인 서비스를 지향합니다. 이를 위해 ITU-T X.1280 국제표준 개발에 참여하고 있으며, Passwordless X1280 소프트웨어를 무료로 배포하고 있습니다.
두 기관은 ITU-T SG17에서 표준을 개발하는 과정에서 처음 만났습니다. 협력의 목적은 신원과 인증이라는 두 축을 연결해 더 신뢰할 수 있고 안전한 디지털 환경을 만드는 데 있습니다.
SIA 회원들을 대상으로 한 이번 X.1280 발표는 신원이 곧바로 인증으로 이어지는 것이 아니라 “신원 > 계정 > 인증”이라는 흐름으로 연결된다는 논지로 진행되었고, 참가자들은 이를 통해 두 분야의 연결점을 쉽게 찾을 수 있었습니다.
오프라인에서는 신원이 인증으로 연결되지만, 온라인에서 사용자의 신원은 계정으로 연결되고, 계정은 인증으로 보호됩니다. 그래서 신원 체계가 아무리 정교해도 연결된 계정이 비밀번호 유출이나 피싱으로 탈취되면 그 신원도 믿기 어려워집니다. 지금 대부분의 서비스는 증명 책임을 사용자에게 지우고, 계정이 털리면 사용자의 관리 소홀로 봅니다. X.1280은 이 책임을 사용자가 아닌 온라인 시스템 쪽으로 옮깁니다.
푸시 알림이나 SMS·OTP 같은 기존 인증은 사용자가 인증 수단을 갖고 있는지만 확인합니다. 접속한 서비스가 진짜인지는 확인하지 않기 때문에, 공격자가 가짜 서비스를 띄워 진짜 서비스에 인증을 요청하면 사용자는 그대로 승인하게 됩니다. X.1280은 서버 인증과 사용자 인증을 하나의 대역 외 흐름으로 묶어 이 공격을 막습니다. 생체 센서는 스마트폰에 있는 것 하나면 되므로, 센서를 따로 달기 어려운 클라우드·IoT 기기나 사용자 대신 서비스에 접속하는 AI 에이전트에도 적용할 수 있습니다.
두 기구가 함께 추진하려는 분야는 모바일 디지털 신원입니다. 여권(ICAO 9303), VDS 신분증(ISO 22376), IC칩 신분증(ISO/IEC 14443)이 스마트폰 지갑으로 옮겨 가면서 QR 코드로 신원을 제시하는 경우가 늘고 있습니다. 그런데 공격자가 가짜 QR을 내밀면 사용자는 진짜 서비스와 구별하기 어렵습니다. 발표에서는 모바일 신분증에 온라인 상호인증(X.1280)과 오프라인 상호인증(X.1268)을 결합해, 신분증을 내보이기 전에 상대가 진짜인지 먼저 확인하는 구조를 제안했습니다.
즉, X.1281이 신원관리 시스템 사이의 연동을 다룬다면, X.1280은 그 신원으로 서비스에 접속하는 단계를 다룹니다. 앞으로 Passwordless Alliance는 SIA 워킹그룹 및 회원 기관들과 협력을 넓혀, 두 표준을 국가 디지털 신원 체계에 함께 적용하는 방안을 논의할 계획입니다.