요즘 공인인증과 암호화 관련 일을 살짝 하다 보니 의문이 드는 이슈인데 정리를 해놓고 이제야 올린다.
몇 주 전인가 부모님 노트북을 새로 설치하고 사용자 계정을 나누는 과정에서 내 계정에 등록한 공인인증서가 어머니 계정에서도 보이는 것을 보고 살짝 놀랐다. 일반적으로 공인인증 과정에서 주민번호와 암호도 요구하기 때문에 제목과 같이 아주 치명적인 보안 이슈는 아닐 수도 있지만 그렇다고 하더라도 나의 과거 패턴을 알고 있는 사람이 내 컴퓨터를 쓴다고 가정하니 한번 쯤은 생각해보고 지나가야 하는 이슈는 아닌가 해서 언급해 본다.
이전에 옥션 해킹과 같은 사건이 터지고 공인인증서 암호와 여타 사이트 암호가 같다고 가정하자. 그리고 악의를 품고 지갑, 신용카드 혹은 개인정보를 훔쳐서 뱅킹 사이트라도 접속하는 날에는.. 사실 상상도 하기 싫다.
각 공인인증기관 프로그램에서 공인인증서를 관리하고 설치하는 디렉터리는 다음과 같다.
| 공인인증기관 | 디렉터리 |
| 한국증권전산 http://www.signkorea.com/ | C:\Program Files\NKPI\SignKorea\User\ C:\pkicert\ |
| 한국정보인증 http://www.signgate.com/ | C:\Program Files\NPKI\KICA\User\ |
| 금융결제원 http://www.yessign.or.kr/ | C:\Program Files\NPKI\yessign\User\ C:\WINDOWS\yessign |
| 한국전자인증 http://www.crosscert.com/ | C:\Program Files\NPKI\crosscert\User\ |
| 한국전산원 | C:\Program Files\NPKI\ncaSign\User\ |
| 한국무역정보통신 http://www.tradesign.net/ | C:\Program Files\NPKI\tradeSign\User\ |
(디스크의 경우 C:\Program Files\ 대신 디스크 루트에 저장됨)
위의 표를 보면 알겠지만 공인인증서의 설치 디렉터리는 개별 사용자 폴더가 아닌 C:\Program Files\NKPI\ 하위로 들어가기 때문에 생기는 이슈였던 것이다. 아마도 각 파일에 대한 권한도 제대로 적용이 안되어 있음은 당연한 일인 것 같다.
그럼 대안은 없을까?
공인인증서 설치 디렉터리를 C:\Program Files\NKPI\가 아닌 %USERPROFILE%\NKPI (혹은 ~/.nkpi) 정도에 저장하면 간단히 해결된 문제는 아닐까 생각이 든다.
