지난 2004년에 표준화가 완료되었던 RFID(Radio Frequency Identification) 물리계층 및 통신 프로토콜 규격은 유비쿼터스 시대에 활용될 수 있는 성능과 기능으로 업그레이드되기 위하여 새롭게 활기찬 논의를 펼쳐가고 있다. ISO/IEC JTC1 SC31 WG4 SG3은 RFID 표준규격인 ISO/IEC 18000 시리즈를 제정한 표준화 그룹이며, 현재는 ISO/IEC 18000 시리즈에 대한 개정/증보판을 논의하고 있다.

프랑스 파리에서 개최된 제 18차 ISO/IEC JTC1 SC31 WG4 SG3 회의(2006.8.17-8.18)에서는 다양한 주파수 대역의 RFID 제품이 여러 분야에서 활용될 수 있도록 기능을 확장하는 활발한 논의가 있었다. 특히 한국전자통신연구원 정보보호연구단에서는 860MHz~960MHz 수동형 RFID 사용자를 위한 프라이버시 보호기술을 소개하며, 이를 ISO/IEC 18000-6 규격의 보안 강화 기술로써 추가시키려는 의지를 보이기도 하였다. 본 고에서는 RFID 사용자 프라이버시 보호기술 표준화의 중요성을 분석하고, 이의 표준화 현황과 향후 전망을 논한다.

RFID 사용자 프라이버시 보호기술 표준화 추진

ISO/IEC 18000 규격은 각 주파수 대역별로 ISO/IEC 18000-1부터 ISO/IEC 18000-7까지(ISO/IEC 18000-5는 없음) 6개 파트로 구성되어 있다. 그 중에서 ISO/IEC 18000-6 규격은 860MHz~960MHz 수동형 RFID 기술을 정의하고 있는데, 이 규격은 유통물류 시스템에서 사용할 수 있는 저가의 태그를 제공할 수 있는 유력한 기술로 평가받고 있다. 특히 EPCglobal의 Class1 Gen2 기술을 Type C로 포함시킨 ISO/IEC 18000-6 AM1(Amendment1) 문서가 2006년 6월에 최종 승인되면서 그 상용화 가능성이 훨씬 높아졌다.

ISO/IEC JTC1 SC31 WG4 SG3은 현재의 표준안에 만족하지 않고 새로운 응용을 창출하고자 센서 기능 및 배터지 지원 동작을 포함시키기 위하여 ISO/IEC 18000-6 AM2(Amendment2) 규격의 표준화를 진행하고 있다. 그러나, 성능과 기능 확장, 상용화 제품 생산 등에 많은 노력을 쏟고는 있지만 정작 상용화에 가장 걸림돌이 될 수 있는 보안 문제에 대한 표준화 활동은 미흡한 상황이다. 이러한 상황은 국내 기술력을 바탕으로 적극적인 기술 제안과 참여를 통해 국제 표준화에 적극 기여할 수 있는 좋은 여건이 된다.

RFID 사용자 프라이버시 문제는 다음과 같은 시나리오에서 발생한다. 사용자가 RFID 부착 제품을 구입한 경우에, 현재의 ISO/IEC 18000-6 AM1 규격에서는 악의적인 공격자의 리더가 사용자 구입 제품의 RFID 태그로부터 제품의 유일 식별자(UII: Unique Item Identifier)를 마음대로 읽을 수 있다. 이 때 읽은 유일 식별자는 정해진 규칙을 가진 유일한 값이므로 공격자는 일반 사용자의 구입 제품에 대한 대략적인 제품 종류를 파악할 수 있으며, 또한 RFID 태그를 읽는 리더의 위치를 파악함으로써 사용자의 이동경로를 추적할 수 있는 프라이버시 침해 문제가 야기된다.

한국전자통신연구원 정보보호연구단은 지난 2005년부터 860MHz~960MHz 수동형 RFID 사용자를 위한 프라이버시 보호기술을 개발해 오고 있으며, 이러한 기술 개발 경험을 국제 표준화로 확대시키기 위하여 ISO/IEC 18000-6 AM2 표준화 작업에 적극적으로 참여하고 있다. 그 결과 이번 회의의 둘째 날(8월 18일 금) 오후 세션에 대략 30여분 동안 RFID 사용자 프라이버시 보호기술을 발표하는 시간을 가졌는데, 이는 ISO/IEC JTC1 SC31 WG4 SG3 멤버들에게 보안 문제의 중요성을 각인시키는 계기가 되었다. RFID 사용자 프라이버시 침해에 대한 문제 제기가 받아들여져서 이번 회의의 최종 결정 중 하나로써, ISO/IEC JTC1 SC27 및 기타 보안기술 표준화 그룹들과 RFID 보안 문제 해결을 위한 협력방안을 마련하기로 결정하였다.

향후 전망과 국내 대응전략

RFID 사용자 프라이버시 보호기술 측면에서 이번 회의를 바라보면, 대한민국 대표단이 RFID 사용자 프라이버시 보호기술 및 전반적인 보안 기술에 대한 논의를 이끌어낸 선도적인 역할을 수행했다고 볼 수 있다. 그러나 전 세계적으로 RFID 사용자 프라이버시 보호기술에 대한 연구가 없었던 것은 아니며, 많은 논문과 개발 경험들이 보고 되고 있다. 또한 이미 확고한 기술력으로 ISO/IEC JTC1 SC31 WG4 SG3의 주도권을 쥐고 있는 EPCglobal의 핵심 멤버가 향후 공개될 Class1 Gen2 Version 2.0 규격은 데이터 보호기술을 포함시킬 것이라는 의견을 표명하였기 때문에 국내의 RFID 사용자 프라이버시 보호기술이 ISO/IEC 18000-6 AM2에 진입하기가 쉬운 일은 아닐 것으로 판단된다.

그러나 비록 쉽지는 않을지라도, 국내의 RFID 개발 업체와 RFID 사용자 프라이버시 보호기술을 개발하고 있는 한국전자통신연구원은 국내 기술의 국제 표준화 가능성을 높이기 위하여 이제 막 태동하는 RFID 보안 기술의 표준화 논의에 보다 적극적으로 참여하고, 세계 주요 업체들에 늦지 않게 표준규격을 만족하는 RFID 제품을 출시함으로써 국제 시장 확보와 국내 시장 보호에 힘써야 할 것이다.