분산 ID

왜 배우는가: 분산 ID는 개인정보 유출과 플랫폼 종속 문제를 해결하는 차세대 신원 체계로, 신원 인증과 개인정보 보호 영역에서 실무 설계의 기준이 된다. 기술사 시험에서도 개념, 발전 단계, 구조, 활용을 묶어 묻는 문항으로 반복 출제되므로 정의와 등장 배경을 정확히 정리해야 한다.

출제 이력: 제122회 3교시 3번, 제119회 1교시 4번

1. 한 줄 정의와 핵심 키워드

답안 첫 줄에 쓸 정의 문장은 다음과 같다.

분산 ID(DID)는 중앙 기관 없이 개인이 자신의 신원정보를 직접 소유·통제하는 전 세계적으로 고유한 식별자이다.

핵심 키워드는 다음과 같다.

• 분산 ID(DID, Decentralized Identifier)
• 자기주권신원(SSI, Self-Sovereign Identity)
• 검증가능한 자격증명(VC, Verifiable Credential)
• DID 문서
• 분산원장(DLT, Distributed Ledger Technology)
• 발급자(Issuer)·홀더(Holder)·검증자(Verifier)
• W3C DID 표준

2. 개념 풀이

쉽게 말하면 분산 ID는 내 신원을 회사나 정부가 아니라 나 자신이 가진 신분증이라고 보면 된다. 필요한 정보만 골라서 보여주고, 누가 나를 확인하는지 내가 정한다.

정식 정의는 W3C 표준의 정의를 따른다. DID는 조직이나 정부와 독립적으로 사용자가 만들고 소유하고 제어하는 식별자이며, 공개키 자료와 인증 설명자, 서비스 끝점을 담은 DID 문서에 연결된다. 이 식별자는 중앙 등록기관 없이 등록되고 해석될 수 있다.

DID 문서는 식별자에 연결된 공개키와 서비스 정보를 담은 JSON 문서다. 공개키가 DID 문서에 있으므로 제3자는 서명을 검증할 수 있다.

검증가능한 자격증명(VC)은 발급자가 홀더의 속성(나이, 학력, 자격 등)에 대해 디지털 서명한 문서다. 홀더는 이를 월렛에 보관하다가 검증자에게 필요한 부분만 제출한다.

자기주권신원(SSI)은 분산 ID가 지향하는 모델이다. 사용자가 디지털 월렛, 디지털 자격증명, 디지털 연결이라는 요소를 모두 직접 관리한다.

3. 등장 배경과 필요성

기존 신원 관리는 크게 세 방식으로 발전해 왔다. 중앙집중형은 한 기관이 신원을 발급하고 관리하는 방식이다. 연합형은 여러 기관이 신원을 연계하는 방식이다. 두 방식 모두 신원정보가 특정 기관에 모이므로 대규모 개인정보 유출의 위험이 크다.

또한 중앙 기관에 의존하면 사용자는 플랫폼에 종속되고, 신원에 대한 통제권을 잃는다. 인터넷이 개인과 기업 생활 전반으로 확장되면서 도메인을 넘는 신원 인증 문제가 커졌다. 이 문제를 해결하기 위해 블록체인 기술을 배경으로 분산 ID 개념이 등장했다.

2015년 무렵 FIDO 얼라이언스가 계정 기반이 아닌 공개키 암호 기반의 직접 연결 모델을 제안했고, 이것이 자기주권신원 논의의 출발점이 되었다. 이후 DIF(Decentralized Identity Foundation)가 개념과 설계를 정리했고, W3C가 DID 표준을 제정했다. W3C는 DID 1.0을 2022-07-19 권고안(Recommendation)으로 승인했다.

국내에서는 분산 ID를 모바일 신분증과 본인확인에 활용하려는 흐름이 있다.

DID 1.0 권고안 승인 2022-07-19

4. 구성요소·원리·절차

분산 ID 체계는 DID 문서, 검증가능한 자격증명(VC), 블록체인 원장, 그리고 이를 다루는 디지털 월렛(에이전트)으로 구성된다. 각 구성요소의 역할은 아래 표와 같다.

표에서 보듯 DID와 공개키는 원장에 두고, 개인 속성은 단말에 둔다. 이 분리가 온체인 개인정보 노출을 막는 핵심 원리다. 설명은 2문장으로 보충한다. 원장에는 식별자와 검증 정보만 남고, 실제 속성 값은 발급자 서명이 붙은 자격증명 형태로 홀더가 직접 보관한다. 검증자는 원장에서 공개키를 조회해 서명만 확인하면 된다.

원리는 공개키 암호에 있다. 개인은 DID에 대응하는 개인키를 가지고, 그 소유를 서명으로 증명한다. 중앙 등록기관이 없어도 원장에 기록된 서명 트랜잭션이 DID의 등록·갱신·폐기 이력을 보장한다. DID는 중앙 등록기관 없이 공개키 소유 증명으로 신원을 확인하는 구조다.

절차는 다음과 같다.

• 홀더가 월렛을 생성하고 DID와 키쌍을 등록한다.
• 발급자가 홀더의 DID를 확인하고 검증가능한 자격증명(VC)을 서명하여 발급한다.
• 홀더는 월렛에 자격증명을 저장한다.
• 검증자가 요청한 속성만 골라 홀더가 제시(선택적 공개)한다.
• 검증자는 발급자 DID 문서에서 공개키를 조회해 서명과 폐기 여부를 확인한다.

이 절차를 도식으로 보면 발급자, 홀더, 검증자 세 주체가 삼각 구조로 연결된다.

5. 관련 법령·기준·표준

분산 ID의 핵심 기준은 법령보다 국제 표준이다. W3C는 DID 1.0 명세를 2022년 7월 19일 권고안(Recommendation)으로 승인했다. 이 명세는 DID의 기본 구조, 데이터 모델, 표현 형식을 정의한다. DIF(Decentralized Identity Foundation)는 여행 산업 등 응용 명세를 낸다. 국내에는 DID 전용 법정 기준이 확인되지 않았으므로 아래 표는 기술 기준 중심으로 정리한다.

위 표는 기준 이름과 개념 차이만 보여준다. 국내 사례로는 「전자서명법」 기반 공인 전자서명과 모바일 신분증 발급 체계가 함께 논의된다. 두 체계는 DID 자체의 기준이 아니므로 혼동하지 않는다. 모바일 신분증의 종류는 「전자정부법 시행령」 제12조의2에 규정되어 있다.

국내 DID 서비스의 현재 운영 여부와 구체적 방식은 확인이 필요하다. 따라서 답안에서는 특정 서비스의 방식보다 표준 구조를 먼저 쓴다.

6. 유형과 비교

분산 ID 체계는 신원 관리 방식의 발전 단계에 따라 나뉜다. 중앙집중형, 연합형, 사용자 중심형, 자기주권형을 비교하면 신원 통제권의 위치가 어떻게 이동했는지 드러난다. 답안에서는 중앙집중형과 자기주권신원(SSI, Self-Sovereign Identity)을 대비시키는 것이 핵심이다.