PKI란? 공개키 기반 인증서와 전자서명의 개념과 작동 방식

PKI란?

PKI는 공개키와 인증서를 이용해 디지털 환경의 신뢰를 구축하고 관리하는 체계입니다. Public Key Infrastructure의 약자로, 우리말로는 ‘공개키 기반구조’라고 합니다.

PKI에는 암호기술뿐 아니라 인증서를 발급·관리·폐지하는 시스템과 운영 정책도 포함됩니다. 이를 통해 공개키의 소유자를 확인하고, 사용자 인증과 전자서명 등에 활용할 수 있습니다. 라온시큐어는 이러한 PKI 기술을 기반으로 PC 환경의 Key# Biz와 모바일 환경의 Key# Wireless를 통해 인증서 기반 인증과 전자서명 기능을 지원합니다.

공개키와 개인키는 무엇이 다른가요?

공개키와 개인키는 수학적으로 연결된 한 쌍의 키입니다. 전자서명에서는 개인키로 서명을 생성하고 공개키로 검증합니다.

공개키를 알고 있다는 이유만으로 대응하는 개인키의 서명을 만들 수 있는 것은 아닙니다. 반대로 개인키가 유출되면 다른 사람이 서명을 생성할 위험이 있으므로 안전하게 보호해야 합니다.

여기서 중요한 질문이 생깁니다. 전달받은 공개키가 실제로 누구의 것인지 어떻게 확인할까요? 이 연결을 확인하는 데 사용하는 것이 인증서입니다.

인증서와 인증기관 CA는 어떤 역할을 하나요?

인증서는 공개키와 소유자 정보를 연결하는 전자적 증명서이며, CA는 정해진 정책에 따라 인증서를 발급하고 관리하는 인증기관입니다.

일반적인 X.509 인증서에는 공개키, 소유자 정보, 발급기관, 유효기간, 이용 용도 등이 포함됩니다. 인증기관인 CA(Certificate Authority)는 인증서에 전자서명해 위변조 여부를 확인할 수 있게 합니다. 등록기관인 RA(Registration Authority)가 신청 접수와 필요한 정보 확인을 담당하기도 합니다.

검증 시스템은 인증서를 발급한 기관의 인증서를 따라 자신이 신뢰하는 기준점까지 확인합니다. 이러한 연결을 인증서 체인 또는 인증 경로라고 합니다. 인증서에 담기는 정보와 확인 수준은 종류와 발급 정책에 따라 다릅니다. 인증서 자체에 개인키가 포함되는 것은 아니며, 인증서를 보유했다는 사실만으로 모든 서비스의 이용 권한이 부여되는 것도 아닙니다.

PKI 기반 전자서명은 어떻게 생성하고 검증하나요?

서명자는 개인키로 데이터에 대한 서명을 생성하고, 검증자는 인증서의 공개키로 해당 서명이 유효한지 확인합니다.

사용자가 금융거래 내용을 확인하고 승인하는 상황을 예로 들면 다음과 같은 과정으로 설명할 수 있습니다.

전자서명은 데이터의 무결성과 서명 출처를 확인하는 데 사용됩니다. 단순히 ‘개인키로 문서를 암호화하는 것’으로 설명하면 실제 서명 알고리즘의 작동 방식을 잘못 이해할 수 있습니다. 또한 전자서명에 사용하는 개인키는 검증자에게 전달하지 않고 서명자가 안전하게 보호해야 합니다.

실제 서비스에서는 이러한 전자서명 기능을 금융거래 승인이나 전자문서 서명 등에 적용할 수 있습니다. 라온시큐어의 Key# Biz와 Key# Wireless는 각각 PC와 모바일 환경에서 PKI 기반 인증과 전자서명 기능을 구현하도록 지원합니다.

전자서명과 암호화는 무엇이 다른가요?

전자서명은 서명 출처와 데이터 변경 여부를 확인하고, 암호화는 허가되지 않은 사람이 내용을 읽지 못하도록 보호합니다.

서명된 문서라도 내용은 읽을 수 있습니다. 서명과 기밀성 보호가 모두 필요하다면 전자서명과 암호화를 함께 적용해야 합니다. 예를 들어 라온시큐어의 Key# Wireless는 모바일 환경에서 PKI 기반 전자서명과 양자내성암호(PQC) 기반 E2E 구간암호화를 지원합니다. 전자서명으로 거래 데이터의 무결성과 서명 출처를 확인하고, 구간암호화로 전송 중인 데이터를 보호하는 두 가지 기능을 함께 활용할 수 있습니다.

인증서의 유효기간과 폐지 상태는 왜 확인하나요?

인증서가 발급된 이후에도 신뢰할 수 있는 상태인지 확인해야 하기 때문입니다.

인증서는 개인키 유출 등의 이유로 유효기간이 끝나기 전에 폐지될 수 있습니다. 따라서 검증 시에는 유효기간, 신뢰 경로, 이용 용도와 함께 적용 정책에 따른 폐지 상태도 확인해야 합니다. 대표적인 폐지 상태 확인 방식에는 인증서 폐지목록인 CRL(Certificate Revocation List)과 온라인 인증서 상태 확인 프로토콜인 OCSP(Online Certificate Status Protocol)가 있습니다.

서명값을 검증하는 것과 인증서의 신뢰 상태를 확인하는 것은 함께 고려해야 할 절차입니다. 개인키 역시 인증서와 구분해 안전하게 보관하고 무단 사용을 통제해야 합니다.

PKI는 어디에 활용될까요?

PKI는 ‘누가 접속했는지’, ‘누가 서명했는지’, ‘데이터가 바뀌지 않았는지’를 확인해야 하는 디지털 서비스에 활용됩니다.

대표적으로 다음과 같은 영역에 적용할 수 있습니다.

라온시큐어의 Key# Biz와 Key# Wireless는 이 가운데 PC·모바일 서비스의 인증과 전자서명에 연결되는 제품입니다. 웹사이트 TLS 인증서 발급이나 CA 인프라 구축과는 적용 역할을 구분해 검토해야 합니다.

PKI 기반 인증과 전자서명을 지원하는 Key# Biz·Key# Wireless

라온시큐어는 PC 환경의 Key# Biz와 모바일 환경의 Key# Wireless를 통해 서비스에 PKI 기반 인증·전자서명을 적용할 수 있도록 지원합니다. 적용 제품과 연동 구성은 서비스 환경, 필요한 보안 기능과 제품 버전을 기준으로 검토할 수 있습니다.

Key# Biz

Key# Biz는 PC 환경의 PKI 기반 인증·전자서명을 지원하는 통합 PKI 전자서명 솔루션입니다.

인증기관이 발급한 인증서를 서비스에서 활용하는 관점으로, 사용자 인증과 거래·문서 전자서명 등의 적용을 검토할 수 있습니다.

Key# Wireless

Key# Wireless는 모바일 환경의 PKI 전자서명과 구간암호화를 지원하는 솔루션입니다.

모바일 서비스에서 사용자 인증과 데이터 무결성 확인, 통신 데이터 보호 등에 활용할 수 있습니다.

PKI는 양자내성암호 PQC와 어떻게 연결되나요?

PKI에 사용하는 공개키 암호기술을 양자컴퓨터의 위협에 대응하도록 전환해야 한다는 점에서 연결됩니다.

PQC(Post-Quantum Cryptography)는 양자컴퓨터를 이용한 공격에도 견디도록 설계하는 암호기술입니다. NIST가 2024년 발표한 표준에는 키 설정에 사용하는 ML-KEM과 전자서명에 사용하는 ML-DSA·SLH-DSA가 포함됩니다.

PKI의 PQC 전환에서는 인증서와 전자서명 알고리즘뿐 아니라 키 관리, 통신 구간의 암호화, 기존 시스템과의 호환성을 함께 검토해야 합니다. 특히 PQC 기반 구간암호화와 전자서명 알고리즘 자체의 PQC 전환은 구분할 필요가 있습니다.

라온시큐어는 Key# Biz와 Key# Wireless에 PQC 기반 구간암호화 기술을 적용해 상용화했습니다. 2026년에는 NH농협손해보험의 디지털 채널 전환 사업에 Key# Biz와 Key# Wireless를 공급하는 계약을 발표했습니다. 두 제품은 각각 PC와 모바일 환경의 인증·전자서명 구간에 PQC 보안 기술을 적용하는 데 활용됩니다. 실제 도입 시에는 제품별 지원 알고리즘과 적용 버전, 보호 구간을 확인해야 합니다.

양자내성암호의 개념과 주요 알고리즘, 전환 준비 방법은 라온시큐어의 PQC 기술용어사전에서 자세히 확인할 수 있습니다.