[단독] 시중은행은 왜 'TLS 1.3'을 유보하나… 보안과 가용성 위한 최선...

대한민국에서 윈도우 11이 전체 윈도우 사용자의 60%를 차지하고 있다. 자료=스탯카운터

[더페어] 백상일 기자 = IETF가 최신 보안 프로토콜인 TLS 1.3을 발표한 지 8년이 지났다. 네이버와 같은 빅테크 기업은 물론, 청와대와 국가정보원 등 정부, 공공기관 홈페이지도 이미 TLS 1.3 전환을 마친 상태다. 그러나 국내 시중은행들의 웹사이트는 상황이 다르다.

3일 국내 주요 은행의 홈페이지에 접속해 보면 TLS 1.2로 보안 연결이 이뤄지고 있음을 확인할 수 있다.

표면적으로는 최신 기술 도입에 뒤처진 것처럼 보일 수 있으나, 금융 IT 환경의 이면을 분석해 보면 이는 단순한 기술적 지체가 아니다. 대국민 범용 서비스라는 은행의 특수성과 클라이언트 인프라 종속성이 빚어낸 치열한 가용성 딜레마의 결과이자, 전략적인 유보에 가깝다.

TLS 1.2는 2010년 발표된 이후 현재도 널리 쓰이는 안정적인 프로토콜이다. 인터넷 통신에서 트래픽을 암호화해 제삼자가 내용을 파악하는 것을 방지할 수 있다. 다만 구조적으로 과거의 암호화 알고리즘을 지원해 중간자 공격(MITM)이나 다운그레이드 공격에 취약할 수 있다는 한계가 존재한다. 이를 극복하기 위해 등장한 TLS 1.3은 취약한 암호화 방식을 원천 차단하고 완전 순방향 비밀성(PFS)을 강제해 보안성을 대폭 끌어올렸다. 또한 통신 초기 핸드셰이크 과정을 단축해 접속 속도까지 혁신적으로 개선했다.

그러나 대형 포털, 정부 기관과 달리 시중은행들은 1.2 버전을 고수하고 있다. 이는 브라우저의 보안 탭을 통해서도 쉽게 확인된다. 공공기관과 포털이 1.3으로 암호화지만, 은행권은 일제히 1.2 버전을 채택하고 있는 것이다.

은행권이 TLS 1.3 도입을 망설이는 결정적 이유는 바로 가용성에 있다.

시중은행 관계자는 "TLS 1.3을 강제로 적용할 경우, 지원이 종료된 구형 OS 사용자 등 일부 고객의 인터넷 뱅킹 접속이 원천 차단될 수 있다"며 "은행은 단 한 명의 금융 소비자도 소외되지 않도록 접근성과 편의성을 최우선으로 고려해야 하므로, 안정성이 검증된 1.2 기반 위에 추가적인 보안 체계를 강화해 운영하는 것이 현실적"이라고 설명했다. 아직까지 윈도우XP나 VISTA 등 서비스지원이 종료된 버전에서 금융거래를 하는 고객 사례도 나오고 있다.

대부분의 은행은 이와 같은 답변을 하고 있다.

실제로 통신 프로토콜은 은행이 단독으로 결정할 수 없으며, 접속하는 고객의 PC 운영체제 및 브라우저 환경에 종속된다. 스탯카운터에 따르면 우리나라에서 2026년 3월 기준 TLS 1.3을 지원하는 윈도우 11의 점유율이 60%를 넘어섰지만, 작년에 공식 지원이 종료된 윈도우 10 사용자 역시 약 40%에 달한다.

윈도우10에서 TLS1.3은 실험적으로 기본 비활성화 상태다. 사진=윈도우10 인터넷옵션 캡처

윈도우 10에서도 제한적으로 TLS 1.3을 사용할 수는 있으나, 기본적으로 비활성화된 실험적 기능으로 분류돼 있다. 이를 활성화하려면 일반 사용자가 직접 레지스트리를 수정하거나 인터넷 옵션을 조작해야 하는데, 이는 디지털 취약계층에게 접근하기 어려운 장벽이다. 더불어 윈도우 OS 설계자인 마이크로소프트는 구버전 OS에서 TLS 1.3 활성을 권장하지(NOT SAFE) 않고 있다.

그런데 만약 시중은행 한곳이 최신 보안 트렌드만을 좇아 당장 내일부터 서버의 TLS 1.2 접속을 중단하고 1.3으로 전면 전환한다면 어떻게 될까. 당장 10명 중 4명에 달하는 구형 OS 사용자의 뱅킹 접속이 예고 없이 끊길 수 있다. 이는 즉각적인 콜센터 마비로 이어지며, 상담원이 수백만 명의 고객에게 일일이 PC 레지스트리 수정 방법을 안내하는 촌극이 벌어질 수밖에 없다. 결과적으로 금융 서비스에 불편을 느낀 고객들은 접속이 가능한 타 금융사로 대거 이탈하는 비즈니스 위기를 초래할 수 있다.

현재 대한민국 시중은행들의 TLS1.3 도입 지연은 보안 의식의 부재나 기술적 나태함의 결과가 아니다. 이는 대국민 금융 서비스로서 디지털 소외를 막고 무결점의 범용성을 지키기 위해 불가피하게 1.2를 유지해야만 하는 구조적 현실이다. 은행들은 1.3 도입에 앞서 다양한 엔드포인트 보안 설루션과 지속적인 패치 관리를 통해 성공적으로 상쇄하고 있다.

은행권의 현재 스탠스는 클라이언트 생태계가 윈도우 11 이상으로 완전히 재편될 때까지 기다리는 매우 현실적이고 객관적인 Wait & See 전략으로 평가할 수 있다. 향후 금융 소비자들의 PC 환경이 상향 평준화되고 은행의 차세대 시스템 재구축 주기가 도래하면, 기술과 가용성의 충돌 없이 자연스럽게 TLS 1.3이 전면 도입될 것으로 전망된다.