민주당 투표 본인인증 시스템은 허술할 가능성이 높음
세줄 요약
- 민주당 당원투표 할때 거치는 인증 절차는 휴대폰 본인인증이 아닌 단순 휴대폰 인증일 가능성이 크다.
- 당내투표에서 단순 휴대폰 인증을 사용하는 것을 오프라인 투표에 대응시키면 주민등록증 같은 공인 신분증 없이 그냥 당에서 발급한 당원증 가지고 있다는 이유로 기본적인 얼굴 확인도 안한 채 통과시키는 거랑 동급임.
- 휴대폰 본인인증이 아닌 단순 본인인증 사용시에 전통적인 정동영식 박스떼기를 대포폰 동원할 필요없이 그냥 온라인 투표에서 구현하는 것이 가능할 수도 있다.
이번에 당원투표를 하면서 본인인증 시스템에 대해 유심히 살펴봤음. 근데 보니까 휴대폰 본인인증이 아닌 그냥 휴대폰 인증을 사용할 가능성이 높음. 일단 휴대폰 본인인증은 거의 나이스, 한국모바일인증 같은 인증업체 번호로 오는데 이번 문자는 당 전화번호로 문자가 왔음. 혹시나 싶어서 예전 문자를 확인해봤는데 본인인증 업체 전화번호가 아니라 당 전화번호로 옴. 뒤져보니까 대선 경선과 지난 전당대회도 당 전화번호로 왔음.
혹시나 싶어서 어떤 업체가 인증을 담당하는지 확인해 봤음.
가장 최근의 당원투표와 서울 선거인단 투표 페이지를 보면 슈어엠을 문자 전송 업체로 쓰는 것으로 보임. 서울 선거인단 투표 페이지 주소는 어떻게 알았냐고? 민주당에서 온 문자 삭제하지 않아서 문자 뒤져서 찾아냈음. 그 주소를 아카이브 사이트에 뒤져봤는데 아카이브가 있더라. https://web.archive.org/web/20211006020925/https://vote.theminjoo.kr/1269-2039 슈어엠을 구글에 쳐봤고 구글에 나오는 홈페이지에 들어가 봤음. https://www.surem.co.kr/main/main.asp# 홈페이지는 이쪽인데 홈페이지 보면 문자 전송 업체임. 근데 나이스, 한국모바일인증이 하는 휴대폰 본인인증을 하지 않는 것으로 보임.
휴대폰 본인인증과 일반적인 휴대폰 인증은 구별해야함. 전자의 경우에는 모니터 밖에 있는 사람을 인증하기 위한 수단으로써 자기 명의의 폰이 맞는지 확인하는 절차고 후자의 경우에는 그냥 입력한 휴대폰 번호가 가짜 번호가 아닌 진짜 휴대폰 번호인지만 확인하는 절차임.
슈어엠 홈페이지를 뒤지면 휴대폰 본인인증 메뉴가 있음. https://www.surem.co.kr/business/business_service6_2.asp 근데 나이스, 한국모바일인증 등에 제공하는 휴대폰 본인인증 서비스가 아닌 그냥 단순 휴대폰 인증으로 보임. 인터페이스도 그렇고(나이스, 한국모바일인증 등에서 제공하는 서비스는 팝업 방식의 경우 인터페이스가 거의 정형화 되어있고, 통신사 선택란도 있는데 해당 페이지에 있는 인터페이스 예시에서는 이게 아님) 서두에서도 "휴대폰 번호의 유효성과 소지여부를 확인할 수 있는 간편한 인증방법입니다."라고 되어있는거 보면 나이스, 한국모바일인증 등이 제공하는 휴대폰 본인인증 서비스가 아닌 그냥 휴대폰 인증 서비스로 보임.
휴대폰 본인인증은 팝업 방식과 소켓 방식이 있는 것으로 아닌데 팝업 방식은 우리가 아는 휴대폰 본인인증 팝업 띄우는 방식이고, 소켓 방식은 자체 인터페이스로 인증하는거임. 근데 요즘 통신사들이 PASS라는 앱을 민답시고 소켓 방식 인증을 안해주고 있음. https://www.sedaily.com/NewsView/1Z98QJ63U3 만약 민주당이 소켓 방식 인증을 써도 문제소지가 있는데, 슈어엠은 휴대폰 본인인증이 아닌 단순 휴대폰 인증만 하는데일 가능성이 커서 결국은 개인정보를 나이스, 한국모바일인증 같은데 위탁해야 할 가능성이 큰데 나이스, 한국모바일인증 등을 선거에 이용했을 경우 위탁하는 업체명을 안적었기 때문에 개인정보법위반 소지가 있음. 민주당이 소켓방식 본인인증을 썼다면 말이지. 팝업 방식 본인인증은 결코 아님. 대선 경선과 최근 당원 투표 모두 휴대폰 인증 팝업창이 안떴음.
만약 민주당 투표에서 사용된 휴대폰 인증 방식이 단순 휴대폰 번호 인증이 맞을 경우 민주당은 입력한 폰번호가 진짜 당원의 폰이 맞는지 확인하는 것을 생략한 체 그냥 당원명부에 기재된 휴대폰 번호가 맞는지만 확인하는 절차만 거치고 바로 투표창으로 넘어가는 방식이었을 가능성이 농후함. 오프라인 투표로 대응시켜보면 주민등록증 같은 공인 신분증 없이 그냥 당에서 발급한 당원증 가지고 있다는 이유로 기본적인 얼굴 확인도 안한 채 통과시키는 거랑 동급임. 물론 온라인 상에서 휴대폰 번호를 변경하려면 휴대폰 본인인증이 필요함. 하지만 이를 회피할 수 있는 시나리오가 있음.
- 우선 종이로 입당원서 넣어서 그 입당원서에 자기 명의의 회선 전화번호 적기. 종이로 입당원서 넣어서 입당하는 경우는 해당 번호가 본인인지 확인하는 절차가 있을까?개인적으로 없을 가능성이 크다고 보고, 내 기억으로는 이런 것을 확인 안했다는 북유게 유저도 한 명 있음. https://bbs.ruliweb.com/community/board/300148/read/36704039 만약 본인명의 휴대전화인지 확인하는 절차가 없을 경우 해당 당원이 홈페이지에서 정보 변경을 해주지 않았다면, 해당 당원의 주민번호와 이름만 알면 대리투표가 가능함. 즉, 이게 가능하다면 그냥 전통적인 정동영식 박스떼기를 대포폰도 없이 할 수 있다는 거임. 게다가 당원 정보를 관리하는 전산이 중복 전화번호를 허용한다면? 회선 늘릴 필요 없이 무한정으로 투표 가능하다는 얘기지.
- 이럴 가능성은 나도 없다고 보는데 선거인 명부 DB를 자기쪽 전화번호로 조작하는 방법도 있음. 특히 RDBMS(근데 미션 크리티컬한 당내 선거에서 NoSQL DBMS을 쓴다는건 그거대로 미친 짓임)를 쓴다는 가정 하에 선거인 명부 전화번호 칼럼이 중복을 허용하는 식으로 스키마가 이루어져 있다면? UPDATE sungerin SET phonenumber='01000000000'; 식으로 쿼리 날려서 일괄적으로 특정 폰번호로 변경이 가능함.
여하튼 투표 전에 거치는 휴대폰 인증이 단순 휴대폰 인증이었다면 대포폰 쓸 필요도 없이 그냥 정동영식 박스떼기도 할 수도 있음. 문제는 단순 휴대폰 인증일 가능성이 높고.
그럼 당내 투표때는 어떻게 해야 하냐? 이상적인 방법으로는 온라인 투표 전면폐지한 다음에 오프라인 only로 하는게 맞고(ARS도 대포폰 동원한 폰떼기 가능성이 있어서 안됨), 투표소 확보 문제나 참여율 문제 등으로 온라인 투표를 한다면 인증서 인증으로도 부족하고(솔직히 말해서 인증서 공유하고 인증서 비번 알려주는 식의 인증서 떼기도 불가능하지 않음) 아예 화상인증 방식을 도입해서 얼굴과 신분증을 대조해서 신분증과 얼굴이 둘 다 맞아야만 통과하는 식으로 가야 함. 개인적으로 한국이 온라인 커뮤에서 본인인증을 하는 등 본인인증을 남발한다고 생각하는 사람이고 본인인증은 개인정보 침해 가능성이 높아지고, 재외국민 인증이 어렵다는 문제가 있지만 당대선거에서 온라인 투표를 하려면 화상인증 말고는 답이 없음. 선거가 아닌 토플 이야기지만 토플도 온라인 시험을 도입했는데 대리시험을 방지하기 위해서 화상으로 본인인증함. 화상인증은 이론 상으로 플러그인도 필요 없고 재외국민도 인증이 가능하다는 이점이 있음.
Share
