은행 사이트에 접속하면 화면 위쪽에 노란 띠가 뜬다. 보안 프로그램을 설치하라는 안내다. 확인을 누르면 설치 창이 뜨고, 설치가 끝나면 브라우저를 닫았다 다시 열라는 지시가 나온다. 다시 접속하면 이번에는 키보드 보안 프로그램을 깔라고 한다. 그다음은 개인 방화벽, 그다음은 백신, 그다음은 공인인증서 관리 프로그램. 프로그램 다섯에서 일곱 개를 차례로 설치하고 나면 컴퓨터는 눈에 띄게 느려져 있고, 그제야 송금 화면이 열린다. 2000년대 일부 은행 사이트에서 이체를 마치기까지 사용자가 거쳐야 했던 절차다. 금융기관과 시기에 따라 요구한 프로그램은 달랐다.
여기에 전제 조건이 하나 더 붙는다. 이 모든 절차는 인터넷 익스플로러에서만 가능했다. 앞서 본 파이어폭스를 아무리 좋아해도, 한국에서 은행 업무를 보려면 파란 e를 켜야 했다. 맥이나 리눅스 사용자에게는 선택지 자체가 없었다. 윈도우 PC가 없는 사람이나 해외 구매자에게 이런 설치 조건은 실제 이용의 장벽이 될 수 있었다.
이런 일이 생긴 배경에는 1990년대 미국의 암호 기술 수출 규제가 있었다. 하지만 그 규제만으로 한국 사이트의 긴 설치 절차까지 설명되지는 않는다. 국내 제도와 금융기관의 선택이 뒤이어 더해졌다.
40비트의 시대
1990년대 중반, 미국은 강력한 암호 기술을 군수품에 준해 관리하며 수출을 규제했다. 암호는 적국의 손에 들어가면 안 되는 무기라는 냉전기의 관점이 아직 살아 있던 시절이다. 이 규제는 미국 안에서도 논쟁거리였고, 결국 1990년대 후반 완화되지만 그때는 이미 한국의 선택이 끝난 뒤였다. 국내에서는 128비트 암호를 써도, 해외로 나가는 소프트웨어에는 40비트 수준의 약한 암호만 허용했다. 브라우저도 예외가 아니었다. 그러니까 당시 한국에 들어온 넷스케이프와 인터넷 익스플로러는 은행 거래에 쓰기에는 자물쇠가 헐거운 물건이었다.
한국의 금융 전산화도 그 무렵 속도를 냈다. 온라인 거래에는 강한 암호가 필요한데 수출용 브라우저가 지원하는 방식에는 제약이 있었다. 국내 전문가들은 자체 암호 알고리즘을 개발했다. 1999년 2월 공개된 128비트 블록 암호 SEED는 그해 국내 표준으로 제정됐고, 2005년에는 국제 표준에도 반영됐다. 기술은 마련됐지만, 당시 널리 쓰이던 브라우저는 SEED를 바로 지원하지 않았다.
암호를 만들었지만 그것을 실을 배가 없었다. 세계의 브라우저들이 한국산 알고리즘을 지원할 이유가 없었기 때문이다. 브라우저와 서버가 같은 규격을 알아야 암호 통신이 성립하는데, SEED는 세계의 브라우저에 존재하지 않는 언어였다. 다수를 설득하지 못한 표준은 자기 나라 안에서만 통하는 방언이 된다.
미국의 수출 규제가 완화된 뒤에는 브라우저에 강한 표준 암호 기술이 들어갔다. 웹사이트도 이를 이용해 통신 내용을 보호할 수 있게 됐다. 암호화 연결은 주소의 https로 확인할 수 있다. 화면에 표시되는 아이콘은 브라우저마다 다르다.
국내 금융기관에는 그 변화를 기다리기 어려운 사정도 있었다. 당시 널리 쓰이던 인터넷 익스플로러에는 액티브엑스로 별도 프로그램을 설치하는 기능이 있었다. 국내 암호 기술과 인증 프로그램을 이 방법으로 이용했고, 같은 방법이 여러 사이트에 퍼졌다. 한 번 만든 시스템을 바꾸려면 프로그램뿐 아니라 업무 절차와 규정도 손봐야 했다. 이 선택을 되돌리는 데는 20년이 넘게 걸렸다.
샛길이 대로가 되다
액티브엑스를 쓰면 인터넷 익스플로러에서 별도의 프로그램을 설치해 컴퓨터 기능을 이용할 수 있었다. 브라우저가 지원하지 않는 암호 기술도 설치 프로그램에서 처리할 수 있었다. SEED를 사용하는 방식이 그 사례다. 그만큼 설치한 프로그램의 안전성과 관리가 중요해졌다.
한 번 문이 열리자 키보드 보안, 개인 방화벽, 백신, 화면 캡처 차단, 공인인증서 관리 프로그램이 차례로 들어왔다. 웹에서 할 수 없는 일이 생길 때마다 프로그램을 하나 더 깔았다. 기존 조직과 보안 요구에 맞는 기능을 설치형 프로그램으로 구현하는 편이 단기적으로 쉬웠기 때문이다. 개발 현장의 합리적인 선택이 같은 방향으로 쌓여 되돌리기 어려운 관행이 됐다. 도입부의 설치 지옥은 그 20년치 결과물이다.
기관마다 다른 보안 프로그램을 설치하면서 충돌과 오류를 겪는 사용자도 있었다. 이런 프로그램은 지우기도 어려워서, 제어판의 프로그램 목록이 정체 모를 이름들로 채워지는 것이 한국 PC의 표준 풍경이 됐다. 명절에 본가에 내려간 자녀가 부모님 컴퓨터에서 이 목록을 정리하는 일은 하나의 세시풍속이었다.
한 가지 더. 이 프로그램들의 상당수는 실제 보안 효과를 두고 전문가들 사이에서 논쟁이 있었다. 사용자 컴퓨터에 프로그램을 설치해 방어하는 방식 자체가 근본적인 해법이 되기 어렵다는 지적이 꾸준히 제기됐다. 다만 금융 사고가 났을 때 금융기관이 규정에 따른 조치를 다 했다는 근거로는 유효했다. 안전을 위한 장치라기보다 책임 소재를 위한 장치에 가깝다는 비판이 여기서 나왔다.
제도도 이 구조와 맞물렸다. 1999년 제정된 전자서명법이 공인인증서 제도의 근거가 됐다. 국가가 인정한 기관이 발급한 전자서명에 손도장이나 인감과 같은 법적 효력을 부여하는 제도였고, 정부가 공인인증서에 강력한 법적 효력을 부여하면서 인터넷 뱅킹과 온라인 증권, 신용카드 결제에 공인인증서 사용이 사실상 필수가 됐다. 법이 액티브엑스를 쓰라고 명시한 것은 아니었다. 다만 공인인증서를 웹에서 다루는 구현이 사실상 액티브엑스로 수렴했고, 액티브엑스는 인터넷 익스플로러에서만 돌았다. 법이 목표를 정하고 관행이 수단을 정하는 사이, 법률과 기술과 시장이 하나의 사슬로 묶였다.
공인인증서를 이용해 집에서 서류를 떼고 세금을 신고하며 은행 업무를 처리할 수 있었다. 문제는 인증 수단의 법적 지위와 금융기관의 운영 방식이 인터넷 익스플로러 전용 설치 프로그램과 얽힌 데 있었다. 법률 자체에 액티브엑스를 쓰라는 조항은 없었다.
한국에서는 사이트의 구현 관행이 제도와 맞물려 인터넷 익스플로러 의존을 오래 유지했다. 다른 브라우저에서 기사나 검색 페이지는 열리는데, 은행 이체나 민원 신청은 끝내지 못하는 경우가 있었다. 맥이나 리눅스를 쓰는 사람, 해외에서 접속하는 사람에게는 이용할 수 있는 서비스가 제한됐다. 이처럼 국내에서는 익숙하지만 다른 환경과 잘 맞지 않는 상태를 두고 ‘인터넷 갈라파고스’라는 말이 나왔다. 한국의 웹은 안에서 보면 편리하고 발달한 시스템이었으나, 바깥에서 보면 들어가기 어려운 섬이었다.
2000년대 중반 이후 개발자와 시민단체는 다른 브라우저 사용자의 접근권을 제기했고, 소송과 국가인권위원회 진정도 이어졌다. 정부와 금융기관은 보안을 위한 불가피한 조치이며 대안이 마땅치 않다고 답했다. 이미 굳은 구조가 스스로를 정당화했다.
대가와 반작용
사용자는 느려진 컴퓨터와 반복 설치를 감당해야 했다. 더 위험한 것은 설치 창에 익숙해지는 일이었다. 은행 업무를 할 때마다 프로그램을 설치했다면 비슷하게 생긴 가짜 창도 믿기 쉽다. 정상 사이트를 흉내 내 설치를 유도하는 공격은 이런 습관을 노렸다.
기술 생태계의 대가도 컸다. 세계가 표준 웹 기술로 옮겨 가는 동안 한국의 상당수 웹사이트는 특정 브라우저 전용으로 지어졌다. 국내 개발자들은 세계 표준 대신 국내 관행을 익혔고, 국내 서비스는 해외로 나가기 어려웠으며, 해외 사용자는 한국 사이트를 이용하기 어려웠다. 인터넷 강국이라는 자부심과 인터넷 갈라파고스라는 오명이 같은 시기에 공존했다. 빠른 통신망이 있어도 다른 브라우저와 기기에서 서비스가 열리지 않으면 이용자에게는 빠져나갈 길이 없었다. 스마트폰 시대가 열렸을 때 이 벽은 특히 아팠다. 액티브엑스는 모바일에서 아예 동작하지 않았기 때문이다. 금융기관들은 모바일용 앱과 인증·보안 절차를 별도로 마련해야 했다. PC 웹에서 쓰던 액티브엑스 프로그램을 그대로 옮길 수는 없었다.
변화의 계기는 여러 곳에서 쌓였다. 2014년, 중국에서 인기를 끈 한국 드라마의 여주인공이 입은 옷을 중국 소비자들이 사고 싶어도 한국 쇼핑몰에서 결제할 수 없다는 이야기가 대통령 참석 회의에서 언급됐다. 이른바 천송이 코트 논란이다. 개발자와 사용자의 불만, 접근권 침해와 보안 논쟁으로 다뤄지던 사안이 한류 상품을 사려는 해외 소비자를 돌려보내는 수출 문제로 번역되자 이미 진행 중이던 개선 요구가 대중적인 정책 의제로 떠올랐다. 그해 5월 금융위원회는 전자금융감독규정 시행세칙을 개정해 온라인 카드 결제 시 공인인증서 의무 사용을 폐지했고, 공공기관과 주요 민간 사이트의 액티브엑스 제거 정책도 힘을 얻었다.
완전한 정리에는 시간이 더 걸렸다. 액티브엑스를 걷어 내라는 압박이 커지자 등장한 것이 이른바 실행 파일 방식이었다. 브라우저 안의 액티브엑스 대신 컴퓨터에 직접 설치하는 프로그램으로 갈아탄 것인데, 사용자 입장에서 바뀐 것은 거의 없었다. 설치 창의 모양만 달라졌을 뿐 프로그램을 줄줄이 깔아야 하는 절차는 그대로였기 때문이다. 규제의 문구를 충족시키면서 관행은 유지하는, 익숙한 방식의 적응이었다. 의무 사용이 풀린 뒤에도 대체 인증 수단이 자리 잡기까지 관성이 길게 이어졌고, 액티브엑스를 걷어 낸 자리를 다시 설치형 프로그램이 채우는 일도 벌어졌다.
공인인증서의 우월적 법적 지위가 정리된 시점은 2020년이었다. 전자서명법 개정이 시행되면서 공인인증서의 독점적 지위가 폐지되고, 여러 민간 인증 서비스가 경쟁하는 체제로 바뀐 것이다. 1999년 전자서명법에서 이어진 법적 구분은 2020년 개정법으로 바뀌었다. 그러나 설치형 프로그램이나 기관별 인증 절차가 그날 한꺼번에 사라진 것은 아니다. 그사이 인터넷 익스플로러 자체가 수명을 다했다. 2022년 마이크로소프트가 이 브라우저의 지원을 종료했을 때, 한국 언론이 유독 회고 기사를 많이 쏟아 낸 데는 이런 사연이 있었다. 세계에는 낡은 소프트웨어의 퇴장이었고, 한국에는 한 시대의 종료였다.
지금 독자가 확인할 것
예를 들어 인터넷 뱅킹을 하다가 프로그램 설치를 요구받았다면, 그것이 법이 지정한 유일한 방식인지, 해당 기관이 선택한 인증 수단인지부터 구분하자. 같은 서비스의 모바일 앱이나 다른 인증 방식이 있는지 기관의 공식 안내에서 확인하고, 설치 파일은 주소를 직접 확인한 공식 사이트에서만 내려받는다. 오래전에 깔아 둔 보안 프로그램을 정리할 때도 이름만 보고 무작정 지우기보다 사용하는 금융기관의 안내와 대조하는 편이 안전하다. 2020년의 법 개정이 모든 설치 절차의 종료를 뜻하지 않았기 때문이다.
이 이야기가 남기는 것
한국의 액티브엑스 20년은 처음 놓인 기술이 법과 제도로 굳을 때 어떤 일이 벌어지는지 보여 준다.
책임 소재를 한곳으로 모으면 역사를 놓친다. 미국의 수출 규제, 자체 암호, 액티브엑스라는 편리한 우회로, 법과 관행이 차례로 맞물렸다. 각 결정에는 당시의 합리가 있었지만, 20년 동안 쌓이자 되돌리기 어려운 구조가 됐다. 굳은 기술 규격은 그 위의 시스템과 산업, 규정을 함께 데리고 다닌다. 경제학이 말하는 경로 의존성의 교과서적인 표본이다.
한 번 굳은 설정을 푸는 데는 세우는 일 못지않은 시간이 든다. AI 에이전트에게 로그인과 결제 권한을 어떤 규격으로 넘길지, 그 규격을 누가 정할지, 특정 회사의 방식이 사실상의 규격이 되면 어떻게 될지. 한국의 경험은 새 기술을 도입할 때 권한과 규격을 누가 정할지 묻는 이유가 된다.
한국의 웹은 지금 그 사슬에서 대체로 풀려났다. 간편결제와 다양한 인증 수단이 자리 잡으면서 많은 절차가 줄었다. PC 업무와 기관에 따라 설치형 보안 프로그램을 요구하는 곳은 남아 있다. 다만 흔적까지 사라지지는 않았다. 일부 관공서와 기업 내부 시스템에는 여전히 낡은 규격이 남아 있고, 무언가를 설치하라는 창이 뜨면 일단 확인을 누르는 습관도 세대 단위로 남아 있다. 사슬은 풀렸어도 자국은 남는다.
한편 이 20년의 정중앙에서, 지구 반대편의 한 검색 회사가 브라우저를 만들기 시작했다. 광고로 돈을 버는 회사가 왜 브라우저에 손을 댔는지는 그 자체로 긴 이야기다.
