최근 디지털 전환이 가속화되면서 공공 자산과 국가 정보통신망의 안전을 확보하는 일이 그 어느 때보다 중요해졌습니다. 국가 및 공공기관이 다루는 방대한 데이터 중 비공개 중요 업무 자료를 안전하게 보호하기 위해 대한민국이 운영 중인 핵심 제도가 바로 한국 암호모듈 검증제도(KCMVP)입니다.

본 내용에서는 KCMVP의 명확한 정의와 목적부터 시작하여 검증 항목, 변천 과정, 그리고 실제 실무자들이 제품을 도입할 때 반드시 체크해야 할 유의사항까지 구체적으로 분석합니다.

1. KCMVP(한국 암호모듈 검증제도)의 정의와 법적 근거

KCMVP란 무엇인가?

한국 암호모듈 검증제도(KCMVP, Korea Cryptographic Module Validation Program)는 국가 및 공공기관의 정보통신망에서 소통되고 저장되는 비밀이 아닌 중요 업무 자료를 안전하게 보호하기 위해 마련된 국가적 차원의 암호 제품 보증 제도입니다. 이 제도는 현대 공공 자산의 기밀성과 무결성을 보호하기 위한 핵심 요소입니다. 정보보호시스템, 암호장치, 보안기능이 내재된 정보통신기기에 탑재되는 암호모듈의 안전성과 구현 적합성을 정밀하게 검증하는 역할을 수행합니다. 여기서 규정하는 '암호모듈'은 암호 알고리즘을 소프트웨어, 하드웨어, 펌웨어 또는 이들을 조합한 물리적·논리적 형태로 구현한 일종의 라이브러리나 장치를 의미합니다.

탄탄한 법적 근거와 목적

KCMVP는 단순한 권고 사항이 아닌 법적 구속력을 갖춘 제도입니다.

주요 법적 근거는 다음과 같습니다.

「사이버안보 업무규정」 제9조

「전자정부법 시행령」 제69조

「국가 정보보안 기본 지침」 제36조

이러한 법령에 따라 국가 및 공공망에서 도입하는 암호모듈의 안전성과 구현 적합성을 검증함으로써, 대한민국 국가 정보망 전체의 보안 기준을 높은 수준으로 유지하는 것을 목적으로 합니다.

2. KCMVP의 발전 배경과 역사적 변천 과정

제도의 탄생

이 프로그램은 2005년 국가정보원에 의해 "암호모듈 시험 및 검증 지침"이 최초 고시되면서 공식적으로 출범하였습니다. 초기에는 국가보안기술연구소(NSR)만이 공인 시험기관으로 지정되어 전담 실무를 이행했으며 공공 부문의 정보보호 패러다임을 혁신적으로 정착시키는 토대를 쌓아 올렸습니다.

2009년 전면 의무화 대전환과 영역의 확장

KCMVP가 공공 전반의 표준으로 자리 잡게 된 결정적인 계기는 2008년 12월 국가정보원이 발표한 새로운 암호 검증 정책이었습니다. 이 정책에 따라 2009년부터는 국가 및 공공기관에 납품되는 모든 정보보호 제품에 KCMVP 검증을 받은 암호모듈 탑재가 전면 의무화되었습니다.

- 2007년 3월: 전자서명 및 키관리(PKI), 인증기관(CA), 등록기관(RA) 등 핵심 기기군에 검증필 모듈 의무 탑재 개시

- 2008년 12월: 국가정보원은 공공 부문에 도입되는 모든 정보보호 제품군을 대상으로 검증 암호모듈 탑재를 의무화하는 방침 발표

- 2009년: 국가·공공기관 도입 모든 정보보호 제품에 KCMVP 의무 적용 전면 시행

- 2018년: KISA 시험평가실 구축, 국내 최초 펌웨어형 KCMVP 검증필 제품 탄생

- 2020년: 검증 적체 해소를 위해 한국인터넷진흥원(KISA) 및 한국정보통신기술협회(TTA)가 추가 시험기관으로 지정되어 다원화된 검증 체계 구축 

3. 철저한 보안을 위한 5대 검증 항목과 탑재 필수 제품군

암호모듈의 안전성을 평가하는 5가지 기준

KCMVP 인증을 획득하기 위해서는 국가사이버안보센터와 시험기관의 엄격한 검증 기준을 통과해야 합니다. 주요 검증 항목은 아래와 같이 5가지 영역으로 나뉩니다.

1. 국가 지정 암호 알고리즘 준수 여부

KCMVP 인증 알고리즘인 ARIA, SEED, HIGHT, LEA, LSH 등이 올바르게 구현되었는지 확인합니다.

2. 난수 발생기 안전성

암호 키 생성의 예측 불가능성을 보장하기 위해 난수 발생기의 품질과 안전성을 측정합니다.

3. 키 관리 방식

암호 키의 생성, 분배, 보관, 사용, 폐기(영구 삭제)에 이르기까지 키의 전 생명주기 동안 평문 키 자산이 외부로 유출되거나 무단 변경되지 않도록 차단하는 보안성을 평가합니다.

4. 암호 프로토콜 구현 적합성

모듈 내 데이터가 전송되거나 처리될 때 프로토콜 상의 취약점이 없는지 검증합니다.

5. 소프트웨어/하드웨어 보안성

물리적 혹은 논리적인 형태에 따라 외부의 비인가 접근이나 변조 시도를 차단할 수 있는지 평가합니다.

검증필 암호모듈 탑재 필수 대상

국가정보원은 국가 및 공공기관 도입 기준으로 검증필 암호모듈 탑재를 필수적으로 요구하고 있습니다. 정보보호시스템 및 보안 기능이 내재된 정보통신기기는 반드시 인증된 모듈을 사용해야만 공공 시장에 진입할 수 있으며, 주요 필수 제품군은 다음과 같습니다. 이외 상세한 제품 유형별 도입 기준은 국가사이버안보센터에서 공식적으로 확인할 수 있으며, 각급 기관의 자체 규정이나 방침에 따라 별도 요구 사항이 있을 수 있으므로 사전에 확인이 필요합니다.

1. 가상사설망(VPN) 및 구간 암호화 장비

원격지 간 또는 사용자-서버 간 통신 데이터 패킷을 암호화하여 전송 구간에서의 도청과 유출을 방지하는 네트워크 보안 제품군입니다.

2. 데이터베이스(DB) 암호화 솔루션

데이터베이스 내에 저장되는 고유식별정보(주민등록번호, 외국인등록번호 등), 개인정보, 비밀번호 등의 민감한 데이터를 컬럼 또는 테이블 단위로 암호화하여 보관하는 제품입니다.

3. 문서 암호화(DRM) 및 디스크·파일 암호화 솔루션

공문서, 기밀 보고서, 도면 등의 디지털 콘텐츠를 생성 시점부터 암호화하거나 사용자 PC 내의 특정 디스크 공간 및 개별 파일을 암호화하여 비인가자의 접근을 차단하는 솔루션입니다.

4. 통합인증(SSO) 및 스마트 인증 보안 토큰

사용자의 다중 시스템 단일 로그인(SSO) 과정이나 추가적인 신원 인증 단계에서 안전하게 전자서명 연산 및 인증 키를 관리·보호하는 장치나 소프트웨어입니다.

5. 메일 암호화 시스템

공공망 내부에서 외부로 송수신하는 메일의 본문 및 첨부파일을 암호화하여 송신하고 수신자 인증 후 복호화가 가능하도록 제어하는 웹·앱 보안 제품입니다.

4. 실무자를 위한 KCMVP 도입 시 5대 필수 유의사항

국가 및 공공기관에 보안 제품을 도입하거나 시스템을 구축할 때, 실무자는 도입하려는 암호모듈이 안정적으로 효력을 발휘하고 있는지 철저히 검증해야 합니다. 다음의 5가지 사항은 반드시 체크해야 할 체크리스트입니다.

1. 도입 시점의 검증 효력 유효성 확인

: 아무리 우수한 모듈이라 하더라도 도입하려는 현재 시점에서 KCMVP 검증 효력이 여전히 유효한 상태인지 확인해야 합니다.

2. 형상데이터(해시 값) 일치 여부 검증

: 암호모듈 고유의 해시 값을 비교하여, 현재 도입하고자 하는 모듈이 공식 검증필 암호모듈 목록에 등재된 원본 형상과 정확히 일치하는지 무결성을 검증해야 합니다.

3. 보안정책문서 확인을 통한 기능 점검

: 검증필 암호모듈 목록에 등재된 공식 보안정책문서를 자세히 확인하여, 해당 모듈이 제공하는 보안 기능이 기관의 요구 사양을 충족하는지 대조해야 합니다.

4. 운영체제(OS) 호환성 부합 여부

: 검증필 암호모듈이 공식적으로 지원하는 운영체제 환경이 실제 적용 대상 시스템의 운영체제와 완벽히 부합하는지 기술적 확인을 거쳐야 합니다.

5. 검증대상 동작모드 정상 구동 확인

: 해당 암호모듈이 실제 연동 과정에서 승인된 검증대상 동작모드로 정확하게 동작하고 있는지 운영 상태를 점검해야 합니다.

5. 드림시큐리티의 검증필 암호모듈(Magic Crypto​)

드림시큐리티는 2008년 첫 암호모듈 검증 획득 이후, 변화하는 보안 규격에 발맞추어 주기적인 업그레이드 및 재검증을 통해 항상 최신 상태의 안전한 암호모듈을 유지·제공하고 있습니다. 드림시큐리티의 대표적인 검증필 암호모듈인 Magic Crypto는 탁월한 신뢰성과 최적화된 성능을 바탕으로 공공망 보안의 중추적 역할을 수행합니다. 

Magic Crypto의 핵심 특장점

1. 높은 신뢰성

: KCMVP 인증을 통해 국가가 검증한 고신뢰성 암호모듈을 공급하며, 지속적인 업데이트와 재검증으로 강력한 보안 상태를 유지합니다.

2. 강력한 보안

: 표준 기반 안전 암호 알고리즘(LEA, ARIA, HIGHT 등)을 완전하게 구현하였으며, RSA Blinding 기술을 적용하여 타임 어택(Time attack) 등의 부채널 공격을 효과적으로 방어합니다.

3. 실시간 응답성

: 연산 알고리즘 최적화를 통하여 대량의 암·복호화 환경에서도 안정적인 처리 성능을 보장하며, 리소스가 제한적인 환경에서도 원활히 구동되는 초경량 암호모듈을 지원합니다.

4. 개발 및 운영 효율성

: C, Java, Firmware 등 환경별 전용 암호모듈을 모두 보유하고 제공하므로 OS나 하드웨어 변경 없이 빠르게 시스템에 적용할 수 있어 개발 비용과 운영 부담을 최소화합니다.

5. 확장성 강화

: 서버, PC, 모바일, IoT 등 다변화된 플랫폼 환경에서 일관된 운영을 지원하며, OpenSSL 기반의 레거시 시스템에서도 검증필 암호모듈로 손쉽게 대체하여 적용할 수 있습니다.

6. 자주 묻는 질문(FAQ)

Q1. KCMVP 인증을 받지 않은 암호 제품을 공공기관에 납품할 수 있나요?

A1. 「사이버안보 업무규정」 및 「전자정부법 시행령」에 따라, 국가 및 공공기관의 정보통신망에서 비밀이 아닌 중요 업무 자료를 보호하는 정보보호 제품군은 검증필 암호모듈 탑재가 필수입니다. 따라서 인증받지 않은 모듈이 탑재된 제품은 원칙적으로 도입이 불가합니다.

Q2. KCMVP에서 인정하는 국가 지정 암호 알고리즘에는 어떤 것들이 있나요?

A2. 대한민국 표준 암호 알고리즘인 ARIA, SEED를 비롯하여 경량 암호 알고리즘인 HIGHT와 LEA, 그리고 해시 함수인 LSH 등이 대표적입니다. 검증 과정에서 이러한 알고리즘들이 규격에 맞게 정확히 구현되었는지를 상세히 심사하게 됩니다.

Q3. 도입 전에 암호모듈의 유효성을 확인하려면 어디를 참고해야 하나요?

A3. 국가사이버안보센터 및 공인 시험기관의 등재 목록을 통해 현재 검증 효력이 유효한지, 그리고 보안정책문서와 형상데이터(해시 값)가 일치하는지 명확하게 확인할 수 있습니다.

7. 결론: 드림시큐리티의 역할과 미래 비전

공공 인프라를 보호하는 장벽의 핵심인 암호모듈은 단순히 규제를 준수하기 위한 도구를 넘어 국가 정보 자산의 무결성을 담보하는 신뢰의 근간입니다. 날로 정교해지는 사이버 위협 속에서 안전한 데이터 환경을 유지하기 위해서는 공인된 기준에 맞춰 지속적으로 검증되고 개량된 암호 엔진을 확보하는 일이 무엇보다 중요합니다.

드림시큐리티는 이러한 변천사 속에서 C/C++, Java 등 다변화된 환경 체계를 선제적으로 통합해 온 기술력을 바탕으로 Magic Crypto 솔루션을 제공해 왔습니다. 앞으로도 드림시큐리티는 하드웨어와 펌웨어, 초경량 IoT 영역까지 아우르는 암호화 기술 고도화에 집중하여 다가오는 양자내성암호(PQC) 시대로의 기술 패러다임 변화에 유연하게 대응해 나가겠습니다.

[출처]

법무법인법승청주 KCMVP: 수립 시점과 보급 확산 과정에 대한 심층 분석

국가사이버안보센터 암호모듈 검증 개요 및 체계