안녕하세요? 주로 '읽기'만 하는 min 입니다. 오늘은 '글쓰기'를 눌렀네요. ^^;


제가 하는 일은 보안관련 업무입니다. 최근까지 웹기획을 주로 하던
문과 출신이라 내공이 너무나도 부족합니다만, 회사에서 준비하는 부분도 있고
많은 고수들이 모이신 이 곳에서 여쭤보고픈 부분이 있어 잠시 적어봅니다.

VPN시장에서 그간 시장을 주도한 IPSec VPN을 대체할 기술로 SSL VPN이
업계의 주목을 받으며 속속 출시되고 있습니다. 두 기술 공히 보안 터널링을 제공,
가상 사설망에 접속시킵니다만 사용자 측면에서 보면 client SW 설치나 관리가
필요없는 SSL VPN 의 사용이 편리하다는 것이 개선점으로 꼽히고 있습니다.
관리비용이나 사용자 교육, 확장성 등도 고려대상이구요.

제가 궁금한 점은 SSL VPN 의 역할에 대한 것입니다.
최저 동시사용자 25명부터(업체별로 차이가 있습니다만) 최대 32,000명도 지원하는
장비도 발표되었습니다. 동시사용자 의미는 100명 규모의 동시사용자는
실제 400~500명 규모의 회사를 의미하는데, 여기서 시장이 구별될 수 있습니다.
동시사용자 100명(실제사용자 400명규모)의 회사면 국내 *대그룹 에 속할만한
회사들을 제외하고는 대부분 속할것입니다. 그런데 현재 IPSec VPN의 시장공급가격이
'살인적으로 낮다보니'(client SW는 그냥 공짜로 뿌려지곤 하죠) SSL VPN이
과연 IPSec 을 대체할 수 있는가라는 의문이 생깁니다.
결국, 100명 동시사용자 이하 시장과 이상 시장으로 구별 될 수 있는데
이하 시장이면 사내 VPN에 보안접속하기 위한 수요일것이고
이상 시장이면 전자상거래에서 개인 end user 에 인증을 통한 보안접속을 공급하기 위한 수요
라고 구분을 하고 있죠.(제 개인 차원에서 ^^;;)

아래가 이슈입니다.
정부 차원에서 조만간 도입할 것으로 예상되는 전자상거래시 공인인증서 의무사용은
개인사용자에게 인당 1만원선의 비용을 부과하게 되는데, 사실 개인에겐 사용면에서 지금과
별 다른 내용이 없습니다. 반면 쇼핑몰 등 업체 측면에서는 소프트포럼의 Xecure Web이 대세인
환경에서 서버당 3천만원! 정도 하는 프로그램에 드는 비용이 큰 부담이 될 것이라는 것이죠.
(사설인증이나 PG를 이용한 상거래 업체는 많으니까요)

즉, 전자상거래를 위해 공인인증서는 어쨌든 필요한데, 이를 관리하기 위해 꼭
xecure web같은 프로그램이 필요한가 하는 것이 문제가 되는 것입니다.
제 생각엔 SSL VPN 장비단에서 관리역할을 맡아주면 업체 측면에서 비용을 줄일 수 있겠지만
SSL VPN을 통과하는 IE에서 그 role을 맡아야 하고 인증서는 IE를 통해 어디에 어떻게 저장되는지를
보통 개인사용자 차원에서는 알기가 어렵습니다. CRL 관리도 그렇구요.

SSL전용 장비나 IE에서 국내공인인증서(NPKI)를 사용할 수 있는 활용 방안을
고민해보고 싶습니다.