EIDAS

3. 연혁 및 법적 의미

eIDAS는 2014년 7월 23일 전자 신원 확인에 관한 EU 규정 910/2014로 제정되었으며, 1999년 12월 13일의 1999/93/EC을 폐지했다.^[1][2] 2014년 9월 17일에 발효되었으며, 제52조에 열거된 특정 조항을 제외하고 2016년 7월 1일부터 적용되었다.^[5] 2018년 9월 29일부터 EU 회원국의 공공 디지털 서비스를 제공하는 모든 기관은 모든 EU 회원국의 전자 신원 확인을 인정해야 했으며, 이는 유럽 단일 시장의 모든 국가에 적용되었다.^[6][7]

eIDAS는 유럽 위원회의 유럽 디지털 의제에 대한 집중의 결과로, EU 내 디지털 성장을 촉진하기 위해 시행되었다.^[9] eIDAS는 상호 운용성과 투명성에 중점을 두어 회원국 간 인증을 위한 전자 신원(eID)의 상호 인정을 보장하고, 디지털 단일 시장의 목표를 달성한다.^[17]

eIDAS 규정은 전자 서명과 관련하여 EU 회원국이 달성해야 할 목표를 설정한 1999/93/EC 지침에서 발전된 것이다. 1999년 지침은 각 회원국이 법을 해석하고 제한을 부과할 수 있도록 하여 상호 운용성을 방해하고 분열된 시나리오로 이어졌지만,^[16] eIDAS는 회원국 간 인증을 위해 전자 신원(eID)의 상호 인정을 보장한다.^[17] 최초의 에스토니아 디지털 서명은 2002년에, 최초의 라트비아 디지털 서명은 2006년에 발급되는 등 작은 유럽 국가들이 디지털 서명과 식별을 먼저 채택했으며, 이들의 경험은 2016년 7월 1일부터 EU 전체에서 법으로 구속력을 갖게 된 EU 전반의 규정을 개발하는 데 사용되었다.^[15]

eIDAS는 법적 가치에 대한 계층적 접근 방식을 제공한다. 고급 또는 적격 전자 서명이 아니라는 이유만으로 전자 서명이 법적 효력이나 법원 증거 능력에서 거부될 수 없도록 요구하며,^[18] 적격 전자 서명은 수기 서명과 동일한 법적 효력을 가져야 한다.^[19] 전자 인감(법인의 서명 버전)의 경우, 인감은 첨부된 데이터의 무결성과 원산지의 정확성에 대한 추정을 누려야 하므로 증거 가치가 명시적으로 언급된다.^[20]

2021년 6월, 위원회는 수정안을 제안하고 권고안을 발표했다.^[21][22][23] 2024년 7월, go.eIDAS-Association은 여러 독일 기술 회사 및 재단과 함께 아키텍처 및 참조 프레임워크(ARF)를 준수하는 지갑에 PID-자격 증명을 발급하기 위해 최초의 eIDAS-Testbed를 출시했다.^[8]

4. 설계 요구 사항

eIDAS에서 데이터베이스 정보는 일종의 신원 번호에 연결되어야 한다.^[34] 개인 정보 접근 권한을 증명하기 위해 여러 단계가 필요하다.^[34]

• 한 국가에서 개발된 방법(예: 전자 인증서)을 통해 사람을 번호에 연결한다.^[34]
• 데이터베이스에서 번호를 특정 정보에 연결한다.^[34]
• eIDAS의 경우, 정보를 가진 국가에서 사용되는 번호를 전자 인증서를 발급하는 국가에서 사용되는 번호에 연결해야 한다.^[34]

5. 취약점

2019년 10월, 보안 연구원에 의해 ''eIDAS-Node''(유럽 위원회에서 제공하는 eID eIDAS 프로파일의 샘플 구현^[35])에서 두 가지 보안 결함이 발견되었으며, 두 취약점 모두 eIDAS-Node 2.3.1 버전에서 패치되었다.^[36]

6. 유럽 자기 주권 신원 프레임워크 (ESSIF)

유럽 연합은 유럽 자기 주권 신원 프레임워크(ESSIF)를 개발하기 시작했다. 그러나 많은 국가에서 사용자는 eIDAS 서비스를 이용하기 위해 구글이나 애플 고객이어야 한다.

7. 논란

2023년, EU 정부가 암호화된 통신을 포함하여 중간자 공격을 수행할 수 있도록 하는 법률 개정안이 검토되었다.^[24] 이는 2019년 카자흐스탄 대규모 감시 시도와 동일한 메커니즘을 통해 작동하는 것이었다. 이 개정안은 사이버 보안 연구 그룹, NGO, 시민 사회 단체에 의해 인권, 프라이버시, 존엄성에 대한 위협으로 규탄받았다.^{[25][26][27][28]}

논란의 핵심은 제45조 개정안의 두 번째 단락으로, 웹사이트 인증용 자격 증명서가 웹 브라우저에서 인식되어야 하며, 웹 브라우저는 특정 조건을 제외하고 이러한 자격 증명서와의 지원 및 상호 운용성을 보장해야 한다는 내용이었다.^[29]

비평가들은 인증 기관(CA)이 브라우저 공급업체의 감사 및 심사 절차 없이 증명서를 발급하도록 허용하는 것은 인터넷 보안을 위태롭게 하고 중간자 공격의 문을 열 수 있다고 주장했다.^[30][31] 정부가 위임한 CA가 임의의 도메인 이름에 대한 증명서를 발급하고 이를 사칭에 사용할 수 있으며, 브라우저가 이를 신뢰할 수 있는 것으로 제거할 수 없게 될 수 있다는 우려가 제기되었다.^[30] 이는 법치주의가 약한 국가에서 정치적 탄압과 개인적 이익을 위해 국민을 감시하는 데 악용될 수 있다는 점에서 특히 우려되었다.^[25][27]

그러나 최종 초안에서는 브라우저 공급업체가 보안 조항을 계속 구현할 수 있도록 하는 조항이 마련되었다.^[32] 즉, 증명서의 보안 침해 또는 무결성 손실과 관련된 근거 있는 우려가 있는 경우, 웹 브라우저는 예방 조치를 취할 수 있다. 이는 브라우저 공급업체가 증명 투명성과 같은 메커니즘을 계속 사용하여 브라우저 보안을 유지할 수 있도록 하는 것으로 해석되었다.^[32] 유럽 위원회는 제45조 개정안에 대한 성명을 통해 브라우저의 "자체 보안 정책"에 어떠한 제한도 부과되지 않는다고 명확히 밝혔다.^[33]

8. 대한민국과의 관계

8. 1. 전자서명법

8. 2. 국제 협력

참조

_[1] 웹사이트 Understanding eIDAS http://www.cryptomat[...] Cryptomathic 2016-04-12
_[2] 웹사이트 Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC http://eur-lex.europ[...] The European Parliament and the Council of the European Union 2016-03-18
_[3] 웹사이트 Is the EU ready for eIDAS? https://www.secureid[...] Secure Identity Alliance 2016-03-18
_[4] 웹사이트 eIDAS from Directive to Regulation - Legal Aspects http://www.cryptomat[...] Cryptomathic 2016-03-18
_[5] 웹사이트 eIDAS in force, applies and exceptions on Europa.eu http://eur-lex.europ[...]
_[6] 웹사이트 Info on eIDAS https://connectis.co[...] Connectis
_[7] 웹사이트 Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 https://eur-lex.euro[...]
_[8] 웹사이트 eIDAS-Testbed successfully launched https://www.eid.as/n[...] 2024-06-19
_[9] 웹사이트 A Digital Agenda For Europe http://eur-lex.europ[...] The European Commission 2016-03-18
_[10] 웹사이트 eIDAS Regulation: EID - Opportunities and Risks https://www.bsi.bund[...] Fraunhofer-Gesellschaft 2016-03-18
_[11] 웹사이트 The eIDAS Agenda: Innovation, Interoperability and Transparency http://www.cryptomat[...] Cryptomathic 2016-03-18
_[12] 웹사이트 European Digital Identity Wallet {{!}} Shaping Europe's digital future https://digital-stra[...] 2024-01-27
_[13] 웹사이트 Towards principles and guidance for eID interoperability on online platforms https://ec.europa.eu[...] European Commission 2021-08-29
_[14] 웹사이트 The Difference Between an Electronic Signature and a Digital Signature http://www.cryptomat[...] Cryptomathic 2016-04-21
_[15] 웹사이트 Regulations, Directives and other acts http://europa.eu/eu-[...] The European Union 2016-03-18
_[16] 웹사이트 Understanding eIDAS – All you ever wanted to know about the new EU Electronic Signature Regulation https://www.legaltec[...] 2016-03-01
_[17] 웹사이트 A Big Step Toward the European Digital Single Market https://www2.deloitt[...] Inside Magazine 2019-03-27
_[18] 문서 Articles 25 (1) and definitions in article 3 (10) to 3 (12)
_[19] 문서 Article 25 (2)
_[20] 문서 Article 35 (2)
_[21] 간행물 Commission proposes a trusted and secure Digital Identity for all Europeans https://ec.europa.eu[...] European Commission 2021-06-03
_[22] EUR-Lex Procedure 2021/0136/COD https://eur-lex.euro[...]
_[23] EUR-Lex Commission Recommendation (EU) 2021/946 of 3 June 2021 on a common Union Toolbox for a coordinated approach towards a European Digital Identity Framework http://data.europa.e[...]
_[24] PDF https://blog.mozilla[...] 2024-08
_[25] 웹사이트 https://last-chance-[...] 2024-08
_[26] 웹사이트 EIDAS letter.PDF https://nce.mpi-sp.o[...]
_[27] 웹사이트 Civil Society Experts Voice Concern as New EU Digital Identity Regulation Finalized https://www.internet[...]
_[28] 웹사이트 EU's Digital Identity Framework Endangers Browser Security https://www.eff.org/[...] 2021-12-15
_[29] 웹사이트 Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL amending Regulation (EU) No 910/2014 as regards establishing a framework for a European Digital Identity https://eur-lex.euro[...] 2024-10-20
_[30] 웹사이트 Bad eIDAS: Europe ready to intercept, spy on your encrypted HTTPS connections https://www.theregis[...] 2024-10-20
_[31] 웹사이트 EIDAS Letter 2022 https://www.eff.org/[...] 2022-03-02
_[32] 웹사이트 Some observations on the final text of the European Digital Identity framework (eIDAS). https://blog.xot.nl/[...] 2023-11-25
_[33] 웹사이트 Texts adopted - European Digital Identity Framework - Thursday, 29 February 2024 https://www.europarl[...] 2024-10-20
_[34] 웹사이트 Hur skapar du en koppling mellan svenska och utländska eID:n? https://www.elegnamn[...]
_[35] 웹사이트 eIDAS-Node integration package https://ec.europa.eu[...] 2019-10-29
_[36] 웹사이트 Major vulnerability patched in the EU's eIDAS authentication system https://www.zdnet.co[...] 2019-10-29
_[37] Bare URL https://helpx.adobe.[...] 2024-08
_[38] 웹사이트 トラストサービス推進フォーラムの取組 https://itresearchar[...] 一般財団法人日本データ通信協会トラストサービス推進フォーラム 2020-05-23
_[39] 웹인용 Understanding eIDAS http://www.cryptomat[...] Cryptomathic 2016-04-12
_[40] 웹인용 Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC http://eur-lex.europ[...] The European Parliament and the Council of the European Union 2016-03-18
_[41] URL https://blog.mozilla[...]
_[42] URL https://last-chance-[...]
_[43] URL https://nce.mpi-sp.o[...]
_[44] URL https://www.internet[...]