[IT 상식] 주민번호 대체한다던 '연계정보(CI)', 왜 또 보호해야 할까? (한국에만 있는 독특한 보안 체계)
인터넷 서비스를 이용하다 보면 본인인증 후 대두되는 CI(연계정보)라는 용어를 한 번쯤 보셨을 겁니다. 최근 대형 OTT 플랫폼의 개인정보 유출 사태와 함께 'CI 분리보관 실태점검' 뉴스가 보도되면서 이 기술에 대한 관심과 우려가 동시에 커지고 있는데요.
개인정보를 보호하기 위해 만든 대체 정보인데, "왜 이것을 또 삼중 사중으로 보호해야 하는가?"라는 모순적인 상황에 대해 그 생성 배경과 구조적 한계를 짚어보겠습니다.
1. 연계정보(CI)란 무엇인가요?
정의: 주민등록번호를 대체하여, 서로 다른 서비스 제공자(기관) 간에 동일인임을 확인(연계)할 수 있도록 생성한 암호화된 식별정보입니다.
특징: 특정 개인의 주민등록번호와 본인확인기관(통신사, 신용평가사 등)의 고유 키를 결합하여 일방향 암호화(해시) 과정을 거쳐 생성됩니다. 총 88바이트(Byte)의 문자열로 구성되며, 주민등록번호가 같다면 어느 기관에서 생성하더라도 항상 동일한 값이 도출됩니다.
2. CI는 주민등록번호의 단순 해시(Hash)값일까?
결론부터 말하자면 "반은 맞고 반은 틀립니다." 데이터를 입력받아 일정한 길이의 무작위 문자열로 바꾸고 역산(복호화)할 수 없게 만든다는 점에서는 암호학적 해시 함수를 기반으로 동작하는 것이 100% 맞습니다.
하지만 단순한 해시값(예: 주민번호를 그대로 SHA-256 등으로 변환한 값)은 아닙니다. 만약 단순 해시값이라면 다음과 같은 치명적인 문제가 발생합니다.
사전 대입 공격에 취약: 주민등록번호는 가짓수가 제한적이라 해커가 미리 계산해 둔 '레인보우 테이블'을 이용해 원래의 주민번호를 쉽게 역산할 수 있습니다.
무단 데이터 결합: 모든 기업이 동일한 해시값을 가지면 정부 통제 없이 무분별하게 개인 프로파일을 합칠 수 있습니다.
이를 막기 위해 CI는 주민등록번호에 본인확인기관의 고유한 비밀 키(Salt, 솔트)를 섞어서 해시를 적용합니다. 따라서 일반적인 해시값에 보안용 안전장치를 한 겹 더 얹은 '특수 목적형 해시값'으로 보는 것이 정확합니다.
3. CI가 탄생하게 된 배경
CI의 도입은 '주민등록번호 수집 금지'와 '비즈니스적 연계 필요성'이라는 두 가지 흐름이 맞물린 결과입니다.
① 법적 규제 (주민번호 수집 금지)
과거 국내 웹사이트들은 주민등록번호를 무분별하게 수집했고, 이는 대규모 해킹 사고와 명의도용으로 이어졌습니다. 이에 정부는 법령에 구체적인 근거가 없는 한 주민등록번호 처리를 원칙적으로 금지(개인정보 보호법 개정)했습니다.
② 대체 식별자의 등장과 한계
주민번호를 쓸 수 없게 되자 사이트 내 중복 가입을 막기 위해 DI(중복가입확인정보, 64바이트)가 먼저 활용되었습니다. 하지만 DI는 보안을 위해 사이트마다 값이 달랐기 때문에, A 기업과 B 기업이 제휴를 맺고 동일한 사용자의 데이터를 연계·결합하려 할 때 동일인임을 확인할 방법이 없다는 한계가 있었습니다.
③ 데이터 연계의 필요성 (CI의 탄생)
핀테크, 마이데이터, 그룹사 간 통합 서비스가 발전하면서 "주민번호를 직접 공유하지 않으면서도, 서로 다른 기관의 데이터가 같은 사람의 것인지 확인할 수 있는 안전한 연결고리"가 필요해졌고, 그 결과 탄생한 것이 바로 CI입니다.
4. 한국에만 존재하는 독특한 개념
놀랍게도 CI는 전 세계에서 오직 대한민국에만 존재하는 독특한 개념입니다.
미국(SSN)이나 유럽(GDPR 체제) 등 해외 국가에는 한국의 주민등록번호처럼 민간과 공공이 공통으로 쓸 수 있는 강력한 '만능 국가 식별자'가 없습니다. 유럽의 경우 기업들이 공통 식별자를 공유하며 개인을 추적·프로파일링하는 행위 자체를 엄격히 제한하므로 CI 같은 개념이 존재하지 않습니다.
즉, CI는 강력한 국가 식별자 체계를 기반으로 '개인정보 보호'와 '산업적 데이터 활용'이라는 두 마리 토끼를 동시에 잡기 위해 발명된 한국형 타협점인 셈입니다.
5. 대체를 위해 만든 정보를 왜 또 보호해야 하는가?
여기서 근본적인 모순과 의문이 생깁니다. 주민번호 유출을 막으려고 만든 가상의 방패(CI)를, 이제는 기업들이 수억 원을 들여 또다시 분리보관하고 지켜야 하는 상황이 되었기 때문입니다. 이러한 피로감이 생기는 이유는 CI가 가진 구조적 한계 때문입니다.
보호 대상의 증식: 원본(주민번호)이 하나다 보니 변환된 CI 역시 평생 바꿀 수 없는 고유값이 되었습니다. 결국 유출되면 안 되는 절대적 식별자가 1개에서 2개로 늘어난 꼴입니다.
연계성이 가져온 부메랑: 어디서나 값이 같다는 장점 때문에, CI가 유출되면 해커가 여러 사이트의 정보를 결합해 한 사람의 일거수일투족을 완벽히 파악하는 '초고성능 만능열쇠'가 될 위험이 있습니다.
패러다임의 전환이 필요한 시점
당장 내년(2027년) 1월부터 시행되는 정부의 'CI 분리보관 의무화'는 임시방편에 가깝습니다.
전문가들은 궁극적으로 "유출되어도 다른 곳에서는 재활용할 수 없는 체계"로 가야 한다고 지적합니다. 로그인할 때마다 매번 바뀌는 OTP처럼 일회성/동적 식별 기술을 도입하거나, 업종별(금융권용, OTT용 등)로 결합 키를 다르게 섞어 파편화하는 방식 등의 패러다임 전환이 이루어져야만 이 피로한 보호의 악순환을 끊을 수 있을 것입니다.
댓글
댓글 쓰기