철통 보안 자랑하던 ‘생체인증’... 보안 뚫려

편집부 | 2017-05-27

[SOH] IT(정보기술)와 금융 서비스 분야에서 위조와 해킹으로부터 안전한 인증방식으로 알려진 ‘생체인증(Biometrics)’에 보안이 뚫려 논란이 일고 있다.

26일 IT 업계에 따르면 최근 독일의 해커그룹 카오스컴퓨터클럽(CCC)이 삼성전자의 스마트폰인 갤럭시 S8의 홍채 보안인증을 푸는 영상을 공개했다.

해당 영상에 따르면 임의로 정한 S8 사용자의 눈을 디지털카메라의 야간 촬영 모드로 찍어 눈동자 이미지를 빼돌리고, 이 사진에 콘택트렌즈를 붙여 ‘가짜 눈’을 만들면 단말기 잠금을 풀 수 있다.

CCC는 실험에서 갤럭시 S8의 홍채인식 센서가 적외선으로 작동한다는 점을 이용해, 적외선 기반의 디지털카메라의 야간 모드를 썼다. 이렇게 찍은 복제한 눈동자 이미지에 렌즈만 얹어도 기계가 진짜 사람의 홍채로 착각하는 것으로 밝혀졌다.

음성 인식도 논란이 되고 있다. 특정 인물의 육성 데이터만 있으면 그 사람처럼 들리는 목소리를 합성할 수 있는 ‘AI 음성 합성 기술’이 보안인증을 푸는데 악용될 수 있기 때문이다.국내에서는 양대 포털인 ‘네이버’와 ‘카카오’가 ‘AI 음성 합성 기술’ 개발에 적극적 나서고 있다.

지난달 영국 <이코노미스트>는 미국의 연구 결과를 인용해 “약 5분간 육성을 추출해 만든 가짜 목소리로도 음성 보안 소프트웨어(SW)의 80% 이상이 뚫린다. 동영상이나 통화 파일에서 데이터를 추출해 불법 목소리 복사를 하는데도 쓰일 수 있다”면서, 음성 인식 체제의 위험성을 지적했다.

이번 논란에 대해 국내 IT 업계 일각에서는 “생체 인식만큼 편리함과 보안성을 보장하는 기술도 드물다”며, “센서의 인식 정확도를 대폭 높여 위조시도를 잡아내고, 비밀번호 등 다른 보안 수단을 혼용하는 조처로 문제를 극복할 수 있다”는 입장을 보이고 있다.

‘생체인증’은 하나 이상의 고유한 개인의 신체적, 행동적 형질인 지문, 홍채, 얼굴, 정맥 등을 이용해 사람을 인식하는 기술이다. 최근에는 체취나 뇌파 등을 이용한 인증방식도 개발되고 있다.

생체인증은 개인별로 차이가 있는 사용자의 고유한 생체 정보한 것으로 분실 및 도난 등의 문제가 없어 패스워드 입력방식보다 높은 보안 성능을 제공하는 것으로 알려져 왔다.

■ 지문인식

지문인식은 개인마다 지문 모양이 다른 것을 이용해 본인임을 인증하는 기술로 이미 보편적으로 사용되고 있다.

이 방법은 스마트폰 보안에서도 많이 사용되고 있는데, 보안에 취약하다는 지적을 받고 있다.

현재 등록하고 사용되는 지문정보는 디바이스 내에 파일 형식으로 저장되는데, 지문 정보가 담긴 파일이 유출된다면 조작이나 도용될 우려가 있기 때문이다.

■ 홍채인식

홍채인식은 사용자의 홍채 이미지를 고해상도로 스캔하여 디지털화 것을 실제 홍채와 대조하는 방법이다.

식별 특징이 무려 266개에 이르고 다른 사람과 홍채가 동일하게 나타날 확률은 5억분의 1로 알려져 있어, 보안성과 편리성이 매우 뛰어난 인증 방식이다.

하지만 콘텍트렌즈에 홍채를 인쇄할 경우, 보안이 매우 취약해질 수 있다.

■ 얼굴인식