비트코인 이전에 에스토니아에 블록체인이 있었다

전명산의 공공분야 블록체인 현장 르포_#7: 에스토니아 정부와 가드타임의 도전

흔히 블록체인 기술은 비트코인에서 시작됐다고 말한다. 그런데 비트코인보다 앞서 블록체인과 유사한 구조를 가진 보안 기술이 이미 개발되고 있었다는 사실을 아는 사람은 많지 않다. 사토시 나카모토의 블록체인 백서는 2008년에 나왔다. 에스토니아의 블록체인 전문 기업 ‘가드타임’은 2007년에 공식적으로 시작됐다. 공식적으로 시작됐다는 말은, 가드타임의 블록체인 관련 기술은 이미 그 몇 년 전부터 개발되기 시작했다는 말이다.

에스토니아가 블록체인 기술을 찾게 된 건 2007년 4월, 러시아로 추정되는 집단으로부터 대규모 디도스(DDoS) 공격을 받고 나서부터다. 공격의 주체가 러시아라는 직접적인 증거는 발견되지 않았지만, 디도스 공격은 우연히도 구소련 세력과 에스토니아 정부가 충돌한 직후 발생했다. 에스토니아 정부가 에스토니아 수도 탈린의 중심부에 있던 옛 소련군 동상을 외곽으로 이전하자 러시아계 주민 1000여 명이 극렬한 반대 시위를 벌였고, 러시아와 외교분쟁이 벌어졌다. 결국 에스토니아 정부는 강제로 시위를 진압했다. 그 뒤 에스토니아에 대한 대규모 디도스 공격 사건이 발생한다.

에스토니아는 1991년에 소련에서 독립했다. 소련 지배 당시 에스토니아로 이주한 러시아인들이 독립 이후에도 에스토니아에 남아 독자적인 세력을 구축하고 있다. 에스토니아의 러시아계 인구 비율은 전체의 26%로 결코 적지 않다. 이들 중 꽤 많은 사람은 아직도 옛 소련인의 정체성을 가지고 있으며, 이것이 종종 정치적 갈등으로 표출된다.

러시아와 에스토니아의 관계가 그리 좋지 않은 배경엔 경제 문제가 있다. 구소련에서 독립해 경제적으로 성공한 나라가 많지 않은데, 인구 130만밖에 되지 않는 에스토니아가 유독 세계의 주목을 받고 있기 때문이다. 소련에서 독립한 직후 1993년 에스토니아의 GDP는 2500달러였는데, 2017년 GDP는 19705달러로 무려 8배 가까이 성장했다. 게다가 에스토니아는 탈소련 친서방 노선을 뚜렷하게 표방하고 있고, EU에도 가입했다. 러시아 입장에서 곱게 보일 리가 만무하다.

에스토니아에 대한 디도스 공격은 대통령궁을 비롯해 의회·정부·은행·언론사 등 주요 기관의 홈페이지와 전산망에 집중됐다. 전 세계 100여 개 국가에서 100만대 이상의 ‘좀비 PC’가 동원됐다. X-Road라는 국가 기간망에 정부의 모든 행정 시스템과 통신, 은행, 보험 등 주요 민간 서비스가 연결된 에스토니아에서 국가 기간망 마비는 곧 사회 시스템 전체의 마비로 연결된다. 공격은 3주간 이어졌고, 급기야 에스토니아는 해외에서 유입되는 인터넷 접속을 차단했다. 공격이 종료된 이후 에스토니아는 데이터의 파괴나 분실은 없다고 발표했지만, 국가 기간망이 1주일 이상 마비됐다.

이 사건 이후 에스토니아는 기존의 전산 방법론으로는 사이버 공격을 막을 수 없다는 결론을 내렸다. 이에 에스토니아는 두 가지 대안을 모색했다. 하나는 해외 클라우드 서비스에 정부의 행정 데이터를 백업하는 것이고 다른 하나는 기존의 보안 방법론보다 더 획기적인 보안 기술을 찾는 것이다. 첫 번째는 지난번 글에 소개한 전자정부의 4번째 단계 ‘클라우드로 이동(Moving to Cloud)’이라는 방법으로 이미 실행되고 있다. 두 번째를 위해 에스토니아 정부는 가드타임이 개발한 KSI(Keyless Signature Infrastructure)라는 기술을 활용하고 있다.

가드타임 본사 건물의 표지석 사진=전명산

가드타임은 악터 불다스(Ahto Buldas)와 마틴 루벨(Martin Ruubel)이 2007년에 에스토니아 탈린에 설립한 보안 기술 전문기업이다. 가드타임은 KSI 라는 독특한 구조의 보안 기술을 발전시켰는데, 이후 비트코인의 탄생과 더불어 블록체인이라는 새로운 보안 구조가 세상에 드러나자 KSI 기술이 블록체인 기술과 유사하다는 사실이 알려졌다. 그래서 지금은 KSI도 블록체인의 일종으로 분류된다. 앞에서 이야기한 대로 KSI 기술의 역사는 비트코인보다 오래됐다. 에스토니아 정부가 기존의 보안 기술보다 나은 방법론을 찾기 시작했을 때, KSI 기술을 만든 탈린 공대의 교수 악터 불다스(Ahto Buldas)는 이미 수년 전부터 비트코인의 블록체인과 유사한 구조의 보안 시스템을 고안하고 있었다. 당시 고민의 핵심은 비트코인과 마찬가지로 신뢰를 보증할 중앙기관 없이 정보의 무결성을 보장할 방법론을 찾는 것이었다.

가드타임이 제시하는 블록체인 기술의 계보. 이미지=가드타임 제공

인터넷 보안에서는 흔히 PKI(Public Key Infrastructure)라는 방식이 사용된다. 그런데 PKI에는 누군가 중앙에서 키를 관리해야 한다. 따라서 PKI 기술엔 보안 키 누출 위험과 더불어, 키를 관리하는 중앙 기관이 해킹당할 위험이 늘 존재한다. 즉 PKI 구조에서는 키를 관리하는 한 곳에 대한 공격만 성공하면 보안을 뚫을 수 있는 단일지점 장애(Single point failure) 발생 가능성이 있다. 반면 KSI 방식은 PKI 기술과 달리 키 없이(keyless) 데이터의 안전성과 무결성을 보장한다. KSI 구조는 데이터를 해시값으로 바꾸고 새로운 해시를 만들 때 이전 해시값을 넣어 해시값을 생성해서 데이터의 해시값들이 꼬리에 꼬리를 물고 이어지는 방식이다. 여기에 머클 트리(Merkel Tree) 구조가 이용된다. 또한 이 데이터는 여러 대의 서버(Shared database)에 동시 저장된다. 비트코인 블록체인의 기본 구조와 굉장히 유사하다. 다만 비트코인은 전자화폐 구축에 초점을 뒀다면, KSI는 데이터 자체의 위변조 방지에 초점을 두고 이에 최적화된 기술을 개발했다.

가드타임은 2007년부터 본격적으로 에스토니아 정부와 협업을 시작, 사토시 나카모토가 백서를 발표한 2008년에 이미 KSI 기술 테스트를 시작했다. 그리고 2012년에는 KSI기술이 정부 및 민간 서비스에 적용되기 시작한다. 필자가 한국 기자단과 함께 가드타임을 방문했을 때, 공공 부분의 부사장인 이보 로흐무스(Ivo Lõhmus)는 자신들의 이런 역사를 자랑스럽게 설명했다. 우리는 이 작은 나라에서 이토록 유명한 기술이 일찍이 탄생했다는 사실에 놀랄 수밖에 없었다. 필자가 장난스럽게 ‘혹시 사토시 나카모토가 가드타임 블록체인 구조를 베낀 단서나 증거가 있냐’고 물었을 때 이보 로흐무스는 웃으며 아닐 것이라고 대답했다. 오히려 비트코인에 대해 “기존 기술을 조합해 천재적인 방법으로 금융에 활용할 수 있는 기술을 만들어냈다”고 칭찬했다. 사실 이런 정도면 ‘사토시 나카모토가 가드타임의 기술을 참고했을 가능성도 있다’라거나 혹은 ‘그럴지도 모른다’고 살짝 우겨볼 만한데도, 당연하다는 듯 부인하는 그들에게서 엔지니어의 자존심을 느낄 수 있었다.

가드타임 및 블록체인 기술을 소개하고 있는 이보 로흐무스(Ivo Lõhmus) 부사장. 사진=전명산

가드타임이 개발한 이 기술은 에스토니아 국가 기간망인 X-Road의 핵심적인 보안 모듈로 사용된다. 그들은 2012년부터 차례차례 X-Road 에 연결된 정부 서비스들에 블록체인 기술을 적용해 왔다. 예를 들면 전자 건강관리 기록(the e-Health Record), 처방전 데이터베이스(e-Prescription database), 전자 법전과 법원 시스템(e-Law and e-Court systems), 전자 경찰 데이터(e-Police data), 전자 뱅킹(e-Banking) , 전자 상업 등기소 및 토지 등기소(e-Business Register and e-Land Registry) 등에 사용되고 있다.

에스토니아 정부는 블록체인에 저장된 해시값 덕분에 전자 문서가 위조될 가능성은 거의 없다고 보기 때문에, 전자 문서와 종이 문서가 서로 달라 진본 확인을 해야 하는 경우, 전자 문서에 우선권을 준다. 또한 법은 시간이 지나면 계속 개정되는데, 종종 종이 법전 배포가 늦거나 정보 전달이 안 돼 판결에 혼란이 오는 경우가 생긴다. 이런 상황을 방지하기 위해 에스토니아는 전자 법전에 우선권을 준다. 또한 법령이 개정되면 종이 법전 배포에 앞서 온라인 법전을 우선 배포한다. 개정된 법령을 실시간으로 배포하는 구조를 만든 것이다. 블록체인을 활용해 문서의 위변조를 방지할 효과적인 방법을 개발함으로써, 행정 시스템의 효율화까지도 확보했다.

그런데 일반적으로 블록체인은 아직 성능 이슈에서 자유롭지 않다. 에스토니아는 어떻게 2012년에 블록체인을 국가 행정 시스템에 활용했을까? 에스토니아가 블록체인을 활용하는 방법은 2가지다. 첫 번째 방법은 모든 문서의 해시값을 블록체인에 저장하는 것이다. 모든 문서 원본은 중앙 서버에서 관리된다. 다만 문서가 새로 생성되는 순간 바로 문서의 해시값을 떠서 블록체인에 저장하여 문서의 무결성을 확보한다. 문서가 애초 저장된 그대로인지 아닌지를 확인하려면 처음에 블록체인에 저장된 문서의 해시값과 현재 존재하는 문서의 해시값만 비교하면 된다. 블록체인에 해시값만 저장하는 것은 비교적 간단하고 용량도 적게 차지하기 때문에 성능 문제가 크지 않다. 또한 비트코인처럼 블록을 생산하기 위해 어려운 계산 문제를 풀어야 하는 과정도 없다. 이런 특성 덕분에 KSI는 대용량 데이터를 쉽게 처리할 수 있다. 예컨대 2016년부터는 블록체인 기술로 에스토니아의 의료 기록 100만 개 전체를 관리하고 있다.

가드타임 사무실 중앙에는 정부 시스템에 블록체인 기술을 활용하고 있다는 것을 자랑하는 인테리어가 있다. 사진=전명산

에스토니아가 KSI 기술을 활용하는 두 번째 방법은 시스템에 접근한 모든 로그 기록의 해시값을 1초에 한 번씩 블록체인에 저장하는 것이다. 이렇게 하면 시스템에 누가 언제 어떤 문서에 접근했는지, 해킹 시도는 없었는지 확인할 수 있다. 예컨대 정부 관료나 경찰이 특정 시민의 자동차 등록 서류를 열람하거나 의사가 진료기록을 들여다봤다면, 그 기록 역시 블록체인에 남아 삭제할 수 없다. 만약 자료를 들여다보는 과정에서 위법행위가 있었다면, 누구라도 처벌을 받을 증거를 남기게 된다.

실제로 뚜렷한 사유 없이 개인정보를 들여다봤다가 처벌을 받은 사건도 있다. 에스토니아의 의사들이 뚜렷한 이유 없이 전직 대통령의 의료기록을 들여다본 것이다. 확인 결과 총 3명의 의사가 이 데이터에 접근했고, 그중 한 명은 의사면허가 취소됐다. 이처럼 개인정보나 문서에 접근에 대한 기록이 명확하게 남고, 그에 따른 처벌이 명확하기 때문에 열람 권한을 가진 사람도 특별한 이유가 없는 한 굳이 관련 데이터를 들여다보지 않는다.

이렇게 만들어진 해시값들은 정부 혹은 민간기업들이 운영하는 프라이빗 블록체인에 저장된다. 그렇다면 여기서 프라이빗 블록체인의 보안을 어떻게 확보하냐는 또 다른 이슈가 대두된다. 이 문제를 해결하기 위해 가드타임은 개별 블록체인을 트리 구조(나뭇가지 모양)로 묶어 해시값을 만든 후 이를 가드타임이 관리하는 최종 프라이빗 블록체인에 초 단위로 저장한다. 이 블록체인에는 에스토니아 정부뿐 아니라 일반 기업들의 블록체인 데이터도 들어오고, 심지어 가드타임 기술을 사용하는 다른 나라 블록체인의 값도 들어온다.

그렇다면 가드타임이 운영하는 최종 프라이빗 블록체인의 무결성은 어떻게 확보할까? 가드타임은 디지털 문서의 무결성을 확보하기 위해 아날로그적인 방법을 활용한다. 가드타임은 한 달에 한 번씩 특정 순간의 해시값을 <파이낸셜 타임스(FT)>에 광고 형식으로 싣는다. 한 달에 한 번씩 해시를 공개해 그 이전에 기록된 모든 해시값의 무결성을 확보하는 것이다.

<파이낸셜 타임스>에 매달 공고되는 가드타임의 해시값. 사진=전명산

비트코인이 등장한 지 10년이 지났지만 아직 블록체인이 풀어야 할 숙제가 너무 많다. 당장 규모 있는 서비스를 올리기 위한 성능조차 제대로 확보되지 않은 상황이다. 블록체인 위에 개인정보와 같은 기밀 사항을 안전하게 올리는 것도 현재로서는 마땅한 방법이 없고, 대용량 문서를 블록체인에 직접 저장하는 것도 효율적이지 않다. 현재까지 블록체인 기술은 아주 제한적인 형태로만 사용될 수 있다.

그런데 에스토니아는 여러 제약을 영리하게 피해서, 2012년 당시 기술 수준에서 블록체인으로 할 수 있는 최대치를 끌어냈다. 효율성과 문서 처리 속도를 확보하기 위해 전체 시스템을 중앙 서버 방식으로 운영하는 한편, 문서의 무결성 확보 및 접근 기록 관리에만 블록체인을 사용함으로써 각 기술의 장점을 최대한 활용하고 있다. 또한 이 구조는 유럽의 개인정보보호법인 GDPR도 만족한다. 블록체인의 데이터가 공개돼 있어도 이 안에는 데이터의 해시값들만 들어 있어 개인정보나 기밀 사항은 드러나지 않는다. 이들이 기술을 활용하는 실용적 태도에 놀랄 수밖에 없다.

에스토니아 정도 규모의 행정 시스템에 블록체인 기술을 적용해서 실제로 수년간 사용한 다른 사례는 아직 존재하지 않는다. 이런 이유로 가드타임은 영국과 싱가포르 등 전 세계 10여개 정부 혹은 기업에 KSI 솔루션을 제공하면서, 매출, 직원 수, 실제 고객 구축 면에서 세계 최대의 블록체인 기업으로 성장했다. Verison, Ericsson, Maersk, EY등 글로벌 기업들과 블록체인 및 보안 프로젝트를 진행하고 있으며, 싱가포르, 두바이, 미국 등에서 블록체인 프로젝트를 할 때 거의 단골처럼 불려 다닌다.

그런데 이상한 건, 에스토니아 정부 관료와 가드타임이 끊임없이 ‘블록체인의 사용처는 제한적이다’, ‘블록체인은 만능이 아니다’, ‘블록체인으로 모든 것을 할 수 없다’라고 말한다는 점이다. 이들의 말은 사실이다. 아직 기술이 충분히 발전하지 않았기 때문이다. 또한 에스토니아는 스마트 계약 기술에 대해서도 아직은 부정적인 태도를 취하고 있다. 마찬가지로 기술이 충분히 성숙하지 않았다는 것이다. 이 판단도 어느 정도 사실이다. ‘스마트 계약이 가능하다’는 것까지만 증명된 상태이지, 그것이 대용량 서비스를 처리할 수 있다거나, 시스템 안전성이 블록체인과 비슷한 수준이어서 안심하고 쓸 수 있다거나, 개인정보나 기밀 정보를 안전하게 처리할 수 있다는 것은 아직 증명되지 않았다. 즉 스마트 계약은 아직 산업 레벨에 본격적으로 쓸 수 있을 정도로 기술이 발전한 상태가 아니다. 따라서 디지털 기반의 정부 행정 시스템을 대규모로 운영해 본 입장에서 스마트 계약에 유보적인 것은 당연하다고 말할 수 있다.

에스토니아 정부의 소극적 태도엔 기술적 이유뿐 아니라 전략적 이유도 숨어 있다. 그들은 이미 중앙 서버 기반으로 세계 최고 수준의 전자정부 시스템을 구축했다. 에스토니아는 스스로 규정했듯이 전자정부의 5단계에 들어서 있다. 에스토니아는 이미 행정 자동화를 상당 부분 이뤘다. 그리고 이 전자정부 시스템을 세계 여러 나라에 수출해 GDP의 약 2%의 수익을 올리고 있다.

반면 스웨덴, 네덜란드, 두바이, 싱가포르 등에서는 스마트 계약 기능을 활용해 블록체인의 가능성을 최대한 활용하는 방식들이 시도되고 있다. 그리고 이 중에서 네덜란드, 스웨덴, 두바이는 비록 실험적이고 작은 규모이지만 블록체인 기반 스마트 계약으로 행정 데이터를 처리한 실제 사례를 하나둘씩 만들어내고 있다. 이러한 서비스들이 상용화되면 에스토니아가 지금까지 쌓아온 블록체인 활용 기술과 전자정부 시스템의 시장가치가 하락할 수밖에 없다. 또 대외적으로도 블록체인 기술이 지나치게 강조되면 자국의 전자정부 시스템 수출에 부정적 영향이 있을 수 있다.

에스토니아 입장에서 더 큰 문제는, 에스토니아는 이미 상당한 수준에 이른 행정 자동화 시스템을 버리고 블록체인과 스마트 계약 기반 행정 시스템을 새로 도입하는 게 엄청난 부담일 수밖에 없다는 점이다. 따라서 이들은 현실적으로 그리고 전략적으로라도 블록체인 기술에 유보적 태도를 취할 수밖에 없다. 반면 에스토니아 이외의 국가들은 행정자동화 작업이 그다지 많이 진행되지 않았다. 따라서 행정 자동화에 유력하게 사용될 수 있는 잠재력 있는 기술이 등장했는데, 굳이 기존 기술을 활용할 이유가 크지 않다. 블록체인 기술의 잠재성이 확인된 2017년 이후 전 세계 수십 개국 정부가 앞다퉈 블록체인 기반 행정 시스템 구축에 나선 이유다.

미래의 관점에서 본다면 전자정부 시스템 구축 및 행정 자동화는 블록체인 기반으로 하는 것이 맞을 것이라고 본다. 블록체인과 정부 시스템은 둘 다 신뢰의 문제를 다루고, 정해진 프로토콜대로 작동해야 한다는 측면에서 찰떡궁합이다. 물론 대용량 데이터 저장이나 개인정보 및 기밀문서 취급에서는 기존의 전통적인 클라이언트-서버 방식과 블록체인 기술의 효과적 결합이 필요하다. 그런데도 새롭게 전자정부 시스템을 구축하고 행정 자동화 작업을 진행한다면 그 근간은 블록체인 기술이 될 수밖에 없다. 따라서 에스토니아는 블록체인 기반의 행정 자동화가 본격화되는 5~10년 사이에 전자정부와 관련된 새로운 도전 상황에 직면하게 될 것으로 본다.

그런데 에스토니아가 지금까지 찾아낸 방법들을 생각해보면, 그다지 어렵지 않은 도전일지 모른다. 에스토니아는 보면 볼수록 ‘미래에서 온 국가’라는 생각이 든다.

                                                                  

전명산은 서울대 사회학과를 졸업하고 같은 대학 사회학과 대학원을 중퇴했다. 블로그 기반 미디어인 미디어몹의 기획팀장, SK 커뮤니케이션즈 R&D 연구소 팀장, 스타트업 대표 등 20년간 IT산업 영역에서 일을 했다. 현재는 한국 첫 블록체인 프로젝트 BOScoin의 CSO로 재직 중이다. 2012년에는 원시사회부터 21세기까지의 커뮤니케이션 구조를 분석한 ‘국가에서 마을로’를 출판했다. 2017년에는 블록체인 기술의 사회적 의미를 분석한 ‘블록체인 거번먼트’ 한글본을, 2018년에 이 책의 영문본인 <Blockchain Government>를 출판했다.