주민등록번호 클린센터의 심각한 보안

최근 검색어에 몇번 오르기도 했던 KISA 주민등록번호 클린센터.

1차 휴대폰을 이용한 실명 인증을 끝내고 2차로 내 주민번호를 입력하고 실명 확인 버튼을 누르면..

뜬금없이 실명 기록이 존재하지 않는다며 나를 거부하여, 일단 등록 신청을 넣었다.

과연 우리의 개인정보를 지켜준다는 이 사이트는 위협으로부터 안전할까?

이 사이트는 내 주민번호를, Base64로 암호화 시켜서 보낸다.

관심 있는 사람은 알겠지만, Base64는 원래 문자열을 쉽게 알아낼 수 있는 암호화 알고리즘이다. 

예를 들어보자.

홍길동이 이 사이트에서 주민번호를 입력했다. 그리고 해커가 암호화된 주민번호를 도청하여 알아냈다고 치자.

암호화된 주민번호: "enc_ssn1=MTIzNDU2&enc_ssn2=MTIzNDU2Nw"

본래는 암호화되어 있으므로 해커는 원문을 절대 알수 없어야 한다.

그러나 이 사이트에서는 Base64라는 복호화 가능한 암호화를 사용하기 때문에

앞자리 MTIzNDU2와 뒷자리 MTIzNDU2Nw를 알아낸 다음, 간편하게 복호화 시킴으로써 원래 주민번호를 알아낼 수 있다.

그리하여 홍길동의 원래 주민번호는 123456-1234567인 사실을 알 수 있다.

SSL이 있기는 하지만, SSL 사용은 하지 않고 이런 구석기 시대 암호화 방식을 사용하고 있다..

우리나라 보안을 선도해야 할 KISA가 뭐하는 것인지..

==2015 06 04 추가==

이메일로 문의해본 결과 아래와 같은 답변을 받았습니다.

몇가지 반박을 하겠습니다.

SSL은 숨겨져 있다.

- 상식적으로 불가능한 일입니다. 브라우저에서는 사이트 주소 옆에 초록색 자물쇠가 떠야만 암호화가 가능한데.. 뜨지 않으면 당연히 암호화는 되지 않습니다.

그나마 있는 SSL마저도 보안 수준이 떨어지는 SSL을 사용하고 있습니다.

주민번호 암호화가 되어 있지 않다.

- 이런 답변을 원했던 것이 아닌데... 더욱 심각한 문제를 알게 되었습니다. 주민번호 클린센터는 주민번호를 암호화하여 저장하지 않습니다!

== 2015-08-28 추가 =

사이트를 다시 확인해 보았다.

이제는 SSL은 뜨기는 하다만, 보안에 취약한 암호화 방식을 사용하는 듯 하다... 좀 고칠거면 완벽히좀 고치지..

전보다 보안은 나아졌겠지만,