정치/경제/사회 게시판
국가인권위원회가 '지문인식시스템으로 출퇴근 관리를 하는 것은 인권침해'라는 뉴스 헤드라인을 보고 처음에는 좀 의아했는데 그 이유를 알고 보니 국가인권위원회의 결정이 맞더군요. 미처 생각하지 못한 것이었는데 우리 사회는 '개혁'이라는 거창한 구호보다는 이런 작은 것에 대하여 개선하려고 힘을 쓰는 사람들 때문에 진일보한다......는 평소의 저의 생각을 다시 한번 느끼게 하는군요. 왜냐하면, 한 공익근무요원이 자신이 근무하는 기관에서 '비용절감을 위해 도입하려고 하자' 인권침해라며 국가인권위원회에 진정을 내서 난 판결이기 때문입니다.
“바이오 정보는 정보주체의 생체정보이자 가장 민감한 개인정보로 개인정보자기결정권을 침해할 수 있고 수집의 위험성, 다른 개인정보와의 결합에 따른 오남용 가능성이 존재한다”
그런데 생체정보를 이용한 인식시스템, 출퇴근은 그렇다치고 출입문 등을 지문인식 또는 홍체인식 시스템을 이용하는 경우에도 인권침해 소지가 있다고 판결날 가능성이 많다는 이야기인데 당연히 인권이 가장 중요하지만 생체인식시스템 회사들은 곡소리 나게 생겼군요. 특히, 우리나라 대표 벤처 업종이라 파장이 더 클듯 합니다. 다른 나라들은 어떤지 한번 살펴보아야겠네요.
백이숙제는 "以暴易暴"를 남겼고 한그루는 "以寂易騷"를 남기고 간다.
한그루혹시나 해서 검색해보았더니 작년 10월에도 국가인권위원회에서 이런 사례가 있었더군요.
"세종시에 설립될 'U-스쿨 구축사업'의 일환으로 추진 중인 학생들의 출결 확인을 위한 '스마트스쿨 지문인식시스템'이 학생들의 인권을 침해할 우려가 있다는 국가인권위원회 판단이 나왔다. "
차칸노르
코블렌츠일반분들은 지문 이미지가 기계에 들어있고 출근할 때 스캔한 이미지로 비교를 한다고 생각을 하시지만
(기계마다 다르겠지만) 제대로 된 지문인식라면 스캔된 지문의 이미지의 "특징점"과 저장된 지문의 "특징점"을
비교합니다. 따라서 설사 누군가가 지문인식기를 들고 튄다고해도 원래의 지문을 복원할 수 없습니다. 이론적으로는
그렇게 만들어야 정상적인 지문인식기입니다. 전문적으로 말하자면 지문 이미지 자체가 아니라 hash값으로
비교를 합니다. 그렇게 해야합니다. 비밀번호도 마찬가지고요, 누군가 해킹을 해서 비밀번호 화일을 들고가도
그 화일에
김갑돌 loveboat123
이런식으로 기록이 안되어 있습니다. 이렇게 되어있습니다.
김갑돌 347^%786987UYjhg16737
그래서 공격자는 만만한 단어를 넣어서 그 hash 값이 "347^%786987UYjhg16737"이 되는 단어를 찾아냅니다.
이 때문에 비번을 고를 때에는 어렵게, 상대방이 예상을 하지 못하게, 사전에 없는 단어...를 사용하고 중간에
숫자를 넣도록 합니다. 비밀번호 화일이 해킹당했다는 것과 내 비번을 <해커가 안다>는 것은 다릅니다.
그래서 보통의 시스템에는 이런 식으로 해커의 trial and error 공격을 막으려고 5번 정도 틀리면 중지시키죠.
그런데 비번화일을 해커가 가지고 있으면 자신의 컴퓨터에서 마음껏 try을 하게 됩니다.
근퇴기록이 인권침해가 되는 것에는 동의하지만 지문인식이 인권과 문제되는 것은 이해하기 힘듭니다.
종이카드로 하면 친구에게 맡겨서 대리출근도 하고 아주 가관입니다.
CCTV와 같이 동영상 그 자체가 기록되는 것과 지문이나 음성인식기는 구조가 다릅니다.
기분은 나쁘겠지만... 특히 인권과 관련된 기계의 문제는 기술적인 내용도 무척 중요하다고 생각합니다.
한그루
ㅋㅋㅋ
근퇴기록이 인권침해가 되는 것에는 동의하지만 지문인식이 인권과 문제되는 것은 이해하기 힘듭니다.종이카드로 하면 친구에게 맡겨서 대리출근도 하고 아주 가관입니다.................라는 말씀은 '인정호소라는 문제'라고 지적하신 님의 지적(지적은 유효하다)을 님 스스로 위반하신거라는거 ㅋㅋㅋ
종이카드가 문제여서 생체정보시스템이 합당화될 수는 없다!고 이 연사 강력히 주장합니다. ^^;;;
그리고 님의 지적대로 이미지로 일치여부를 찾지 않고 특징점으로 찾는거 맞습니다.(아마 국가인권위원회 소속한 분이 NCIS 미드를 많이 보신 모양-거기서는 이미지가 떠올려지면서 일치되는 부분을 마킹하니 말입니다. ㅋㅋㅋ)
여기까지는 님의 지적이 맞습니다. 문제는 그 특징점 관련 부분입니다. 님은 특정점으로 저장되어 있으니까 이미지를 저장하는 것과 다르다..라고 말씀하셨는데 님의 말씀을 듣고 좀 생각해 보니 여전히 '생체정보이용자기결정권'에서는 문제가 되지 않나 하는 판단입니다. 특징점을 찾아내는 것은 각종 인식 소프트웨어마다 다르겠지만 결국은 어떤 인식소프트웨어를 써서 특징점을 만들어 냈다고 하더라도 '해독이 가능'하다는 것입니다. 그리고 그 해독이 가능한 부분을 국가인권위원회에서 판단한게 아닌가....
그래서 외국 사례를 잠깐 찾아보았는데 미국 FBI에서는 현재까지 3천만명의 지문을 정보화하였고 정보화하는데 1인당 약 1달러. 그리고 4천만명을 추가로 지문을 정보화시키려고 한다는데 글쎄요...... 관련 내용에 대하여 인권침해 논란은 없어보입니다.(제가 검색해 보았는데 찾지 못했다는 의미입니다.)
그런데 지문에는 '인종적 특성'도 있다고 하더군요. 뭐, 미국이 다인종 국가니까 그렇다 치지만........ 그리고 이 지문은 특별히 허가된 사람들만 사용하니까 대규모여도 인권침해논란이 없지 않느냐...... 하는 판단인데 모르겠습니다.
미국에서(최소한 명목상으로는 인권인식이 우리나라보다 높다는 점에서) 지문인식이 인권침해에 대한 논란이 없다는 점에서 보면 코블렌츠님이 제기하신 '기술적으로 특징점을 비교한다'라는 지적은 맞다는 판단입니다만 국가에서 특별히 허가된 사람(FBI)과 아무나 접근할 수 있다는 점(한국의 출퇴근 관리)의 차이, 그리고 '관련 프로젝트를 두어건 수행해 본 엔지니어 입장에서 본다면 '특징점'을 가지고 악용할 수 있기는 합니다.
국가인권위원회의 결정을 보고 '맞다'라고 생각했는데 코블렌츠님 판단을 듣고보니 좀 혼란스러워지는 것은 사실인데 '특징점'으로 특정인을 찾는 것은 가능하다는 점에서 국가인권위원회는 지나치게 염려했고 코블렌츠님은 약간은 '가볍게 생각하지 않으셨나'라는 판단입니다.
코블렌츠이 초성으로 된 문장을 보고 제가 하고 하고싶은 말을 복원하기는 좀 힘들겠죠. 지문도 비슷하지 싶습니다.
지문의 특징점으로 원래의 지문을 구성하는 것은 매우 어렵습니다. 그게 쉽다면 이미 해킹을 많이 당했을 겁니다.
노사가 합의해서 근퇴기록을 없애자고 합의하는 것이 제일 좋고, 아니고 업무독려를 위해서 알아야 한다면
지문은 별 문제가 없고 그중 싸고 신뢰할만한 시스템이라고 생각합니다. (해당 기기의 내부 구조를 한번 보고 싶네요.)
제가 걱정하는 것은 지문, 유전자 정보, CCTV 등에 대하여 기계적으로 인권침해라고 생각하는 것은 너무 안이한
대응이 아닌가 합니다. 제가 사는 동네에서 흥미로운 사건이 이전에 생겼는데요, 어떤 놈이 여학생(초등생)을
공중화장실(수위아저씨, 청소아지매들이 사용하시는)에 끌고가서 성폭행하려다가 나중에 CCTV로 잡은 적이 있습니다.
주민들 모두 가슴을 쓸어내렸조. 그래서 몇 군데 더 설치하기로 합의를 보았습니다.
그런데 지난 주민회의때 어떤 분이, 자기가 관리실에 가서 CCTV를 보자니까 안보여주더라고 아주 난리를 쳤습니다.
어떤 사람은 "아 그것 주민이 보자하면 언제든지 보여주어야 하는 것 아닌가 ? "이런 식으로 따졌고 회의가 난리가 아니였습니다.
... 참 씁쓸한 기분이 들더군요. 이게 CCTV에 대한 중산층 수준이라 생각하니깐요.
미국 프로야구에서도 전자판독기를 도입한다고 하네요. 아마 스포츠 민주화, 정의는 전자기기가 완성할 것이라고 봅니다.
심판의 고결한 올림픽 정신이나 스포층 정신이 아니라... 전자기기를 이용한 민주주의의 가능성이 그 역작용에 비해서
더 이익이라고 믿는 사람으로서 지문인식기는 찬성하고 싶습니다.
최근 차에 다는 블랙박스로 인하여 이전에 목소리만 높이든 사람의 기세가 엄청줄었다고 하데요. 친구 말에 의하면 어떤
영업용 택시차 운전사가 뒤로 백하다가 자기 차를 받았는데 바로 뒷 목을 잡고 소리지르며 나오드랍니다.
그러더니 앞에 달려있는 블랙박스 장치를 보더만, 그냥 팔운동 한번 하고 조용히 들어가더랍니다.....
피도 눈물도 없는 블랙박스, You Win !
한그루코블렌츠님/
자료를 검색해보니 이런 사례가 있더군요.
1) 2008년 7월 3일 – 네덜란드의 대형 식료품 체인에 도입된 지문 인식 지불 시스템이 도입 ... 도입된 시스템과 유사한 기술을 사용하는 시스템이 해킹된 사례도 있다.(www.itworld.co.kr의 뉴스인데 해당 페이지가 열리지 않아 검색결과 텍스트를 발췌합니다. 해킹을 했다는 의미는 그걸 사용해서 지불했거나(선불) 아니면 그걸 다른데 사용하고자 했기 때문. 물론, 장난(과시 등)일 수도 있고요...)
2) 2010년 2월부터 조탈청은 지문인식+보안토큰(개인인증서) 시스템으로 해킹이 (원천적으로)불가능한 시스템을 도입한다..라는 것입니다.
3) 최근 화제가 된 애플의 오쓴테크 인수를 주제로 블로거들이 쓴 글들에서 이런 사례가 있더군요.
- 2년전 한 호주고등학교 학생이 곰모양 젤리로 지문인식기를 통과시킨 다음 등록된 친구의 지문을 복제 성공적으로 지문인식기에 삽입하였다.
(http://blog.naver.com/PostView.nhn?blogId=jkhan012&logNo=150144763369)
결국, 님이 새로운 쪽글에서 지적하신 내용과 제가 FBI의 사례를 든 것에서 판단한다면 핵심은 '정보를 어떻게 관리하느냐?'가 판단의 기준이지 싶습니다.
논점 1. 님이 제기하신 복원성이 힘들기 때문에 국가위원회 결정은 지나치다 --> 위 사례로 보아 가능하지 싶습니다. 의외로 지문인식은 지문 자체가 정밀하지 않습니다. 지문에서 사람을 판독할 수 있는 정보는 일정하거나 유한합니다. 단지, 사람이 다 제각기 다르다는 것이 정보소스로 활용되는 점이겠죠. 인터넷에서 '지문인식 프로그램 소스'가 돌아다니는 것도 .이런 이유일겁니다.
따라서 암호화되지 않은 지문정보를 풀어내는 소프트웨어는 작성이 쉽습니다.(저도 가능할 것이라는... ^^)
논점 2. 결국 단순한 지문정보를 암호화하는 경우인데-님이 드신 예- (128비트 암호) 이 경우에는 보안상 일단 안전하다고 보아야겠지요. 그런 측면에서 본다면 님의 '국가인권위원회가 지나치다'라는 판결은 저도 동의합니다.
논점 3. 문제는 결국 '어떻게 관리되는냐?'라는 부분인데 국가인권위원회가 지적한 부분은 아무나 쉽게 접근이 가능하다...를 가장 크게 고려한 것이 아닌가 싶습니다. FBI의 경우에는 인권침해 논란이 안되었던 것이(제가 검색을 못해서 그럴 수도 있겠습니다만) 그런 관리 및 접근 방법에 대한 믿음 때문일 것입니다.
따라서, 궁극적으로는 지문인식 등 생체정보를 이용한 시스템에서는 특별히 허가된, 인증된 관리자가 관리하는다는 어떤 법적인 조치가 있어야 하지 않겠는가.......?하는 부분입니다. 이 부분은 관련업체들의 이의젝가 있을 수도 있으니 좀더 본 후에 판단해 봐야겠군요.
원래, 신경조차, 아니 생각조차 하지 못했던 분야인데 코블렌츠님 때문에 관련 이슈에 대하여 관심을 두게 되었네요. 감사합니다. ^^
whataday지문인식장치는 특징점으로 지문일치여부를 판단하기는 하지만 어차피 등록된 지문을 저장하고 있는 건 사실입니다.
유출될 경우 악용될 여지는 있습니다. 하지만 지문인식장치들도 발전해서 고무손가락에 지문을 새겨 인식시키는 것 같은 행위를 막는 기술을 적용한 제품들도 있습니다.
오래 전에 몇 년 간 지문인식장치 개발 관련한 일을 했었는데, 특징점으로 지문을 재구성하는 건 불가능하다고 보시면 됩니다.
그건 마치 고속도로 인터체인지 몇 개의 형태로 전체 고속도로의 모양을 알아 내겠다는 것과 같거든요.
어쨌든 전 지문인식이 인권침해한다는 것에 부정적입니다.
한그루whataday님/세가지 부분으로 정리될 것 같습니다.
첫번째는 기술적인 문제인데 최근에는 특징점을 이용하여 지문을 복제하는 것은 현장에서는 불가능할겁니다. 님이 지적하신 것처럼 요즘 시스템들은 인체만 흐르는 소량의 전류를 감지하니까 고무손가락을 이용하면 전류가 흐르지 않아 인식자체를 안합니다. 문제는 해킹의 경우입니다.
제가 FBI는 3천만명+4천만명의 지문을 정보화하는데도 미국에서 반론이 거의 없다는(검색을 못해서인지 모르겠습니다만) 이유에서 결국 실제 사용보다는 '악용의 가능성'에 대한 보안관리 시스템에 대한 문제 제기이겠지요.
두번째는 저는 처음 접하는 제가 아직은 구체적인 입장이 없는 입장이지만 국가인권위원회의 판단은 결국 '원자력 발전소'와 같은 측면에서의 논란과 비슷한 것이 아닌가..에 거는 제동이지 싶습니다. 지문인식 시스템을 도입하는 업체들 대부분이 관리효율이 도입하는 이유이기 때문입니다. 물론, whataday님의 지적이 맞고(우리가 쓰는 공인인증서를 판단해 본다면) 보안면에서는 공인인증서 수준으로 올라와 있는 것도 사실입니다만 일부 제품은 그렇지 않고 가격문제 때문에 더욱 더 문제가 있는 제품들이 있어 보이는 것도 사실입니다.
님도 생체정보자기결정권에 대하여는 공감하실겁니다. 논의는 첫번째 항과 같은 맥락인데 결국 관리부재의 현실, 그리고 사회적 합의가 끌어내지지 못한 상황(관리문제까지 포함)에서 효율성 때문에 생체정보자기결정권의 소홀을 경고한 것이지 싶습니다.
즉, 국가인권위원회의 결정은 '미래에 예측가능한 위험에 대한 경고'가 '현실적으로 심각한 문제가 있어서'보다 더 무게가 실렸다는 것이 제 판단입니다.
세번째는 지금 검색되었는데 국가인권위원회가 이 사항을 결정할 때 OECD 기준을 참조하지 싶었습니다.(괄호 안은 제 판단입니다.)
OECD 국제법에 의거한 개인정보 사용에 관한 내용을 살펴보면,
△개인정보를 수집하는 것은 원칙적으로 제한되어야 하며 (출퇴근 관리 시스템에서 뭐라 말할 수 없음)
△개인정보를
수집할 때는 적법하고 공정한 수단에 의해야 하며 (수집 자체는 문제가 없고 적법하고 공장함)
△적절한 상황에서 정보주체에게 알리거나 동의를 구해야 되며 (입사 전에 설치된 것은 입사가 포괄적 회사 방침에 동의한다는 것이고 입사 후에 설치 여부는 직원의 동의를 구해야 한다)
△개인정보는 사용목적에 필요한 범위
내에서 정확하고 완전한 최신의 상태로 유지되어야 하며 (관리 측면에서 좀 소홀하다는...)
△개인 정보는 정보주체의 동의가 있거나 법률 규정에 의하지 않고는 수집 당시 목적 이외의
용도로 누출되거나 사용되어서는 안되며 (이 부분 역시 정상적인 상황에서는 문제가 안되나 관리체계소홀로 인하여 심각할 수 있음)
△개인 정보의 유출, 권한 이외의 접근, 파괴, 사용, 수정, 누출 위험에 대비하여 합리적인 보안 장치를
마련해야 하며 (보완장치 미비. 우리나라는 해커들의 천국으로 보안망이 허술하여 해킹 경유지로 해커들의 낙원임)
△정보 주체인 개인은 정보 관리자에게 자신과 관련된 정보가 있는지 없는지 존재를 확인하고 (이건 모르겠음. 존재가 이미 확인되지 않았나?_
△과도하지 않은 비용과 합리적 방식으로
쉽게 알아볼 수 있게 자기 정보를 열람하도록 하며 (이건 해당 사항 없음)
△자신의 정보에 대해 이의를 제기하고 삭제, 정정, 보완, 수정을 청구할 수 있어야 한다(퇴사 시에 삭제되어야 하는데 역시 관리의 충실성 문제로 귀결됨)
참조 기사 : http://openjb.co.kr/bbs/view.php?id=freeopi&no=65
그리고 아래에 차칸노르님 지적을 듣고 생각한 것인데 국가인권위원회의 결정은 지문날인은 범죄자 취급을 당하는 현재의 인식들....이 판단에 중요한 작용을 하지 않았나... 싶습니다.
차칸노르사람들은 지문인식이라고 하면 일단은 범죄인 관리를 떠올립니다. 지문인식기를 통해 자기 정보가 해킹당할 위험성이라는 것은 고려사항이 아닙니다. 범죄인 취급을 받는다는 느낌 때문에 인권침해라고 하는 거죠.
한그루차칸노르님/ 차칸노르님의 의견은 시점에서 보면 '현재는 물론 미래에의 시점'으로 보시는 것 같은데 국가인권위원회도 차칸노르님과 같은 시점에서 본 것이 아닌가... 하는게 제 판단입니다.
사람에 대한 태도로서의 존중..... 범죄인 취급을 받는다는 느낌 ......
이건 그렇군요. 한그루식으로 표현하면 'IT기술에 있어서 헬싱키 선언 38조라고 할까요?'
"IT기술 중 인체와 관련된 기술을 이용하여 신상을 파악할 때 그 신상파악 대상이 형법 상 중대한 피의자가 아닌 경우 반드시 그 대상의 동의를 구해야 한다" (내가 써놓고도 너무 멋지다는... ㅋㅋㅋ)
그러고 보니 독재정권 시절에 '불심검문'에 대한 불유쾌한 감정과 지문날인이라는 재일교포들의 차별 등과 관련하여 저야 뭐 땜쟁이니까 지문인식은 그냥 기술...이라고 생각했는데 (최소한)인문돌이들에게는 상당히 문제의 소지가 있다...라고 인식할 수도 있다는 생각입니다.
정치/사회게시판 최신댓글