삼성·애플·구글 최신 스마트폰 잇단 오류… AI 딥러닝 기반 지문인식 위·변조 탐지 기술 주목

▎사진:© gettyimagesbank

지난 10월 13일(현지시간) 영국 더선 등은 삼성전자 스마트폰 ‘갤럭시S10’ ‘갤럭시노트10’의 지문인식 오류 문제를 제기했다. 시중에서 쉽게 구할 수 있는 장착용 실리콘 케이스를 스마트폰 화면 위에 올리자 사용자가 아닌 다른 사람의 지문에 센서가 반응해 잠금이 풀리는 현상이 나타났다. 그 후 국내외에서 같은 문제를 겪었다는 제보가 잇따르자 삼성 측은 “일부 커버(케이스)의 돌기 패턴이 지문으로 인식된 것”이라며 오류를 바로잡은 소프트웨어 패치를 배포했다.

얼굴인식 오류 확률 100만분의 1?

이 문제는 해결됐고, 그로부터 한달여가 지났지만 소비자의 불안감은 여전하다. 이후 다른 생체인식 기술인 얼굴인식에서도 잇단 오류가 발견돼서다. 영국 BBC에 따르면 10월 24일(현지시간) 미국에서 출시된 구글 ‘픽셀4’의 경우 사용자가 눈을 감고 있는 데도 얼굴이 인식돼 잠금이 풀렸다. 전작에 있던 지문인식 센서를 없애고 얼굴인식 기능을 추가했다가 사달이 난 것이다.

같은 달 31일 JTBC는 국내에서 애플 ‘아이폰X’ 사용자 김모씨의 초등학생 아들이 아버지의 페이스ID를 해제해 게임 아이템 1000만원어치를 결제했다고 보도했다. 아이폰X부터 적용된 페이스ID는 사용자 얼굴을 암호화한 보안 시스템이지만 사용자를 닮은 아들 얼굴에 허점을 노출했다. 애플은 자사 홈페이지에서 “얼굴인식이 잘못될 확률은 100만분의 1(0.0001%)”이라면서도 “사용자와 닮은 얼굴엔 통계적으로 달라질 수 있어 우려되면 비밀번호 설정을 권장한다”고 대응했다.

기업의 단순 부주의 때문일까, 기술적 한계가 탓일까. 정보통신기술(ICT) 전문 컨설팅 업체 가트너가 선정한 ‘21세기 세계 10대 기술’인 생체인식을 둘러싼 논란이 거세다. 번거로운 비밀번호 입력 없이도 간편하게 보안을 유지할 수 있는 생체인식 기술은 지난 수년간 비약적으로 발전해 소비자 일상에 스며들었다. 특히 사용자와 기업 모두 간편성을 중시하는 스마트폰에 각종 형태로 탑재되면서 급성장했다. 시장 조사 업체 프로스트앤드설리번에 따르면 생체인식 시장은 지난해 아시아·태평양 지역에서만 53억9000만 달러(약 6조3400억원) 규모를 형성했다. 2025년이면 211억9000만 달러(약 25조원)에 이를 전망이다.

시장은 커지고 있지만 생체인식 오류는 꾸준히 지적돼온 문제다. 2017년 삼성 ‘갤럭시S8’에선 실제 사람의 얼굴이 아닌 얼굴 사진에 반응해 잠금이 해제된 사례가 보고됐다. 지난해 미국 경제지 포브스의 한 기자는 자신의 얼굴을 3차원(3D)프린터로 복제해 삼성과 LG전자 등 안드로이드 운영체제(OS) 기반의 스마트폰 잠금 해제에 성공했다고 밝혔다. 올 5월엔 원 플러스 ‘6T’ ‘7 프로’의 지문인식 시스템을 한 유튜버가 무력화했다. 일련의 사례를 보면 현존하는 생체인식 기술은 기업들의 개선 노력에도 어느 정도 한계를 드러냈다.

논란이 되고 있는 지문인식·얼굴인식과 달리 홍채인식·정맥인식은 보안성이 더 우수한 생체인식 기술로 평가 받는다. 지문인식은 개발 등에 투입되는 가격 대비 성능(가성비)이 뛰어나서, 얼굴인식은 멀리서도 사용할 수 있는 간편성이 좋아서 보안성이 상대적으로 떨어지는 데도 널리 쓰이고 있다.

아태지역 생채인식 시장 2025년 25조원 전망

안구의 각막과 수정체 사이에 있는 원반상의 얇은 막인 홍채는 사람마다 같을 확률이 10억분의 1(0.0000001%)에 불과하다. 지문이 같을 가능성도 희박하기는 마찬가지이지만 지문은 실리콘 등으로 위·변조할 수 있다. 이와 달리 홍채는 고유의 식별 특징이 266가지로 지문(40가지)의 6.65배 수준인 데다 손가락처럼 인체 외부로 노출되지 않아 위·변조가 매우 어렵다. 손바닥·손등·손목 등의 혈관 형태를 활용하는 정맥인식도 홍채인식과 마찬가지 이유로 보안성이 뛰어난 편이다.

다만 문제는 비용이다. 홍채·정맥인식은 개발 등에 돈이 많이 들어 기업 입장에서 까다로운 기술로 꼽힌다. 이에 삼성은 S10·노트10에서 홍채인식 기능을 뺐고 정맥인식도 LG ‘G8 씽큐’에만 탑재돼 대중화까지 시간이 더 필요할 것으로 보인다. 정맥인식의 경우 내장 카메라와 손의 간격을 신경 써야 하는 등 편의성 면에서도 물음표를 남겼다.

이 때문에 국내외 기업들은 기존 지문·얼굴인식 기술 강화에 주력하고 있지만 아직은 여의치 않은 상황이다. 이번에 문제가 된 삼성 S10·노트10은 세계 최초로 도입한 초음파 센서로 지문을 인식한다. 별도의 외부 버튼 형태로만 가능했던 기존의 지문인식과 달리 화면 뒤 본체 내부에서 초음파로 지문을 인식, 편의성·보안성을 모두 잡을 신기술로 기대를 모았다. 이 센서를 공급한 퀄컴 측이 “위·변조 지문은 통하지 않으며 흙이나 먼지, 물이 묻은 손가락에서도 지문을 문제없이 인식한다”고 자부했지만 값싸고 흔한 실리콘 케이스에 뚫리고 말았다. 아들과 아버지의 얼굴을 구분 못한 아이폰의 페이스ID도 적외선으로 사람 얼굴에 3만개 이상 도트(그래픽 이미지의 최소 단위)를 쏴 정밀하게 인식하는 신기술이다. 사용자의 화면 주시 여부까지 확인해 다른 얼굴인식 기술처럼 눈을 감은 얼굴을 인식한다거나 복제품에 반응하는 오류는 발견되지 않았지만 혈육 간 빼닮은 얼굴 앞에선 속수무책이었다.

사용자 행동 패턴에 반응하는 보안 기술 주목

전문가들은 생체인식 기술이 태생적으로 간편성을 무기로 진화해야 하는 만큼 당분간 보안성 논란도 이어질 것으로 본다. ICT 전문가인 알바로 베도야 미국 조지타운대 교수는 “생체 정보는 기본적으로 비밀번호와 달리 공개돼 있어 공격 타깃이 되기 쉽다”며 산업과 기술이 발전해도 어려움이 따를 것으로 내다봤다.

한건희 연세대 교수 역시 “생체인식 기술별로 장·단점이 존재하는데 현재 완벽한 기술은 없다”라며 “홍채·정맥인식도 완전한 보안을 보장하진 못한다”고 말했다. 홍채는 초고화질 사진으로 찍어 잠금 해제하는 일이 이론상 불가능하지 않으며, 사진 기술이 발전할수록 위험도가 높아질 수밖에 없다. 정맥은 모든 사람마다 다르다는 것이 입증되지 않았다. 한 교수는 “인식 시스템 기반의 모든 기술은 오류 가능성이 늘 존재하기 때문에 사용자가 늘 주의해야 한다”고 덧붙였다.

그렇다고 해도 기술·제도적 보완으로 가능한 선까지 보안성 우려를 최소화해야 한다는 데 전문가들은 의견을 같이 한다. 김학일 인하대 교수는 “최근 인공지능(AI) 딥러닝 기반의 지문인식 위·변조 탐지 기술이 주목 받고 있는데 기업들이 대안으로 적극 개발할 필요가 있다”고 지적했다. AI가 수시로 지문정보 보호를 돕는 기술이다. 김재성 한국인터넷진흥원 센터장은 “생체정보 보호 가이드라인 준용 등의 제도적 보완도 필요하다”고 강조했다. 민감 정보인 생체정보의 보호 중요성을 환기해 산업계가 보안에 더 신경 쓸 수 있도록 한다는 것이다.

전문가들의 눈은 미래형 생체인식 기술로 쏠리고 있다. 최대선 공주대 교수는 “AI가 사람마다 다른 ‘행동의 패턴’을 학습해 특정 행동 패턴에만 반응하는 보안 기술이 해외에서 조금씩 도입되고 있다”고 말했다. 사람마다 키보드 입력, 마우스 조작을 반복하면서 자신도 모르는 일정한 패턴을 갖게 되는데, 이를 기존 생체인식의 보조 식별수단으로 쓸 수 있다는 것이다. 평소 사용자와 다른 행동 패턴이 나타나면 AI가 가려내 접근을 자동 차단하는 식이다. 이 역시 만능 기술은 아니지만 생체인식과 복합적으로 활용해 보안성을 강화할 수 있다.

- 이창균 기자 smilee@joongang.co.kr

[박스기사] 최대선 공주대 의료정보학과 교수 - ‘간편성 대 보안성’ 끝없는 창과 방패의 전쟁

“한마디로 ‘창과 방패의 전쟁’이라 계속 보완해나가야죠.” 최대선 공주대 의료정보학과 교수는 11월 26일 통화에서 생체인식 안전성 논란의 핵심을 이렇게 요약했다. 최신 스마트폰에서 잇따라 드러난 생체인식 기술의 보안상 허점이 개별 기업·제품의 문제라기보다 ‘간편성 대 보안성’ 차원의 난제라는 얘기다. 소비자 욕구에 발맞추기 위해 간편성에 집중하다 보면 보안성이 떨어지게 되고, 우려 속에 보안성을 강화하면 다시 간편성이 아쉬워진다는 것이다.

최 교수는 인공지능(AI)과 생체인식 분야에서 손꼽히는 전문가다. 카이스트 전산학부 박사, 한국전자통신연구원(ETRI) 사이버보안연구본부 인증기술 연구실장을 거쳤다. 2016년 3월 ‘알파고 대 이세돌 9단’ 바둑 승부 직전 이 9단의 우세를 점치던 일반론과 달리 알파고의 완승을 예측해 화제를 모았다. 같은 해 8월엔 반경 2m 내에서 간편결제 서비스 ‘삼성페이’의 카드 정보를 탈취, 결제하는 실험에 성공한 사례를 미국에서 발표해 생체인식 기술에 대한 경각심을 환기시키기도 했다.

최 교수에 따르면 통상 생체인식에선 서비스 제공자가 ‘임계값’을 설정한다. 높은 임계값에선 이용자 본인의 지문·얼굴이라도 가끔 인식하지 못하는 경우가 생긴다. 손가락의 땀이나 세월에 따라 변한 얼굴 등 변수가 많아서다. 임계값을 낮추면 타인의 혹은 위변조가 된 생체가 오(誤)인식될 가능성이 커진다. 그는 “임계값을 무리해서 낮춰 오인식이 되는 경우가 적잖다”며 “기업들이 공개적으로 오류의 원인을 밝히기 꺼리는 건 대부분 이런 경우”라고 분석했다.

안전장치는 없을까. 최 교수는 근래 들어 국내외 학계에서 대안 중 하나로 언급되는, 인공지능(AI) 기반의 지문인식 위·변조 탐지 기술 등을 도입하면 도움이 될 것으로 본다. 가짜 지문을 AI가 판별해 걸러낼 수 있다. 그는 “특히 지문은 통념보다도 더 위·변조에 취약하다”며 “실리콘뿐 아니라 목공용 풀이나 아이들 먹는 젤리로도 손쉽게 가짜 지문을 만들어낼 수 있다”고 지적했다.

지문만 문제가 아니다. 최 교수는 자체 연구에서 얼굴인식 도중 사람 얼굴에 스티커를 몇개 붙여 다른 사람으로 인식되게 하는 공격에 성공했다. 정맥인식도 허점이 있다. 그는 “정맥인식에선 울프 어택(wolf attack)이란 용어가 있는데 정맥의 일정 패턴을 인위로 만들어 공격해 50% 이상 성공했다는 해외 연구 결과가 있었다”고 전했다. 홍채도 수치상 다른 생체보다 식별성이 우수하다지만 안심해선 곤란하다. 생체인식을 수행하는 플랫폼과 시스템이 뚫리면 답이 없다. 전자파를 주입하거나 전류를 흘려 인증 시스템을 뚫는 ‘인증우회 공격’ 등 다양한 해킹 방법이 있다. 최 교수는 “간편성 강화를 포기하기 어렵다면 가짜 생체를 (AI 등으로) 판별하는 기능을 제품에 반드시 탑재하거나, 인증우회 공격이 불가능하도록 플랫폼 보안에 좀 더 신경 쓰는 식으로 개선해야 한다”고 지적했다.

- 이창균 기자

[박스기사] 130년 넘는 지문 연구 - 범죄수사부터 전자기기까지 다방면에 사용

‘54333, 35541’. 경찰은 범죄수사를 하거나 불심검문을 할 때 대상자의 지문을 보고 암호 같은 숫자를 사용한다. 궁상문·요측제상문·척측제상문·와상문 등 크게 네 종류의 지문에 한가지를 더해 지문 형태를 총 다섯 가지로 분류, 각 유형별로 숫자를 부여해 피검자의 실제 지문과 대조하는 식이다.

지문은 손가락 끝 촉구의 피부융선 형태로 현재 사람을 구별하기 가장 쉽고, 빠르며, 정확한 방법이다. 가장 오래, 널리 쓰이고 있다. 연구자마다 차이가 있지만, 지문이 같을 확률은 대략 870억분의 1에 불과한 것으로 알려졌다. 로또 1등 당첨 확률보다 1만배 이상 낮다. 같은 유전인자를 갖고 태어난 일란성 쌍둥이조차 지문은 다르다. 위·변조가 어렵고 평생 잘 바뀌지 않는다.

사람마다 지문의 모양이 다르단 걸 처음 발견한 사람은 스코틀랜드 의사 헨리 폴즈다. 그는 일본에서 의료 선교사로 활동하던 때 일본 도공들이 자기 작품에 지문으로 서명한 것을 보고 지문에 흥미를 느껴 연구를 시작했다. 그는 1880년 네이처지에 서신을 보내 ‘손에 난 피부 골’에 대해 설명하고, 지문 채취 방법과 범죄자 신원 확인 관련 활용법을 담은 논문을 소개했다. 그는 당시 논문에서 “지문 패턴의 다양성을 이용하면 여러 측면에서 쓸모 있을 것”이라며 “피 묻은 지문이나 도자기·유리잔 등에 지문이 있으면, 범인의 신원을 알아낼 수 있다”고 제안했다.

당시 인도의 치안관이던 영국인 윌리엄 허셜은 폴즈의 논문이 실린 한달 후 네이처지에 지문을 서명처럼 쓰는 방법에 대한 논문을 게재했다. 허셜은 “1858년부터 인도 사람들이 계약할 때마다 지문을 찍게 했다”며 자신이 지문 연구의 원조라고 주장했다. 이후 지문은 범죄 수사나 용의자 색출에 폭넓게 사용되며 이를 관할하는 조직이 생기기도 했다. 영국은 1897년 인도에 지문국을 설치했고, 스코틀랜드는 1901년 영국 내 최초로 지문국을 발족했다. 뉴욕시도 1902년 시민안전국에 도입했다.

지문은 주로 범죄수사에 사용되다 1960년대 후반 지문을 전자적으로 기록할 수 있는 ‘라이브스캔’(Live-Scan)’ 기술 개발 후 산업 전반에 쓰이기 시작했다. 이전에는 지문 식별을 하려면 여러 전문가가 수작업으로 방대한 지문을 직접 분류해야 했지만 이를 데이터화 해서 처리량과 속도를 비약적으로 끌어올렸다. 지문 처리를 위한 센서 기술도 광학식, 정전용량식, 초음파 장식 등으로 다양하게 발전했다. 현재 산업 분야에서는 울퉁불퉁한 지문의 골에 따른 전압 차이를 이용한 정전용량식이 가장 널리 쓰인다.

지문을 통한 생체인증은 최근 스마트폰을 비롯한 전자기기에서 폭넓게 사용된다. 또 출입통제와 근태관리, 전자상거래 인증, 공항시스템은 물론 모바일뱅킹 등 핀테크의 사용자 인증에도 지문을 사용한다. 모토로라의 ‘아트릭스(ATRIX)’가 스마트폰에 처음 지문인식 기능을 도입한 후 애플도 아이폰5S에 지문인식 기능을 넣었다. 삼성전자는 다소 늦은 갤럭시S5에 지문인식 기술을 도입했다.

다만 지문은 무리한 노동이나 상처, 노화 등으로 없어지기도 한다. 지문의 무늬가 옅어지면 인식률이 떨어진다. 또 최근 실리콘으로 지문을 복사해 사용하는 사례가 나오는 등 보안 인증키로서 제 역할을 못할 거란 지적도 나온다. 비밀번호는 유출되면 바꾸면 되지만, 지문은 바꿀 수 없다. 이런 이유로 최고 등급의 보안시설이나 금융회사 금고 등은 지문인식을 사용하지 않거나 여러 생체 보안 체계를 병합해 이용한다.

지문인식 기술은 편의성을 살리며 보안성을 높이는 방향으로 진화하고 있다. 초음파를 활용해 3D로 지문을 촬영, 인식의 정확성을 높이는 기술도 발전하고 있다. 손가락 땀구멍과 혈관 위치를 파악해 복제 지문을 구분하는 등 단점을 보완하기 위한 연구도 활발하다.

- 김유경 기자