공동인증서를 HSM(하드웨어 보안 모듈)이나 보안토큰에 넣어 쓰다가 USB로 옮길 수 있는지 궁금해하는 경우가 많습니다. 결론부터 말하면, 보안토큰 안에 생성·저장된 키는 토큰 밖으로 복사되지 않도록 설계된 것이 원칙입니다. 보안토큰은 사용자의 비밀정보를 안전하게 저장·보관하고 사용자 인증에 활용하는 장치로, 키가 외부로 유출되지 않는 것을 전제로 만들어졌기 때문입니다. 다만 모든 상황이 똑같지는 않아서, 어떤 방식으로 인증서를 담았는지에 따라 결과가 갈립니다.
보안토큰에서 USB로 바로 복사가 안 되는 이유
보안토큰의 핵심은 비밀키가 토큰 내부를 벗어나지 않는다는 점입니다. 수탁기관 자료(순천향대학교, 2007)에서도 보안토큰을 "사용자의 비밀정보를 안전하게 저장·보관하고 이를 통해 사용자 인증을 위해 사용"하는 장치로 설명합니다. 키가 밖으로 나오는 순간 보안토큰의 존재 이유가 사라지므로, 제조사들은 내보내기 기능 자체를 막아두는 경우가 일반적입니다.
여기서 구분해야 할 것이 있습니다. 인증서(공개키와 신원 정보가 담긴 파일)와 개인키는 다릅니다. 인증서 파일만 USB로 옮기는 것은 가능하지만, 개인키가 토큰 안에만 있고 꺼낼 수 없다면 다른 매체에서 같은 인증을 재현할 수 없습니다. "인증서를 복사했다"와 "같은 방식으로 서명할 수 있다"는 전혀 다른 이야기입니다.
내 보안토큰이 어떤 유형인지부터 확인해야 합니다
같은 보안토큰이라도 인증서를 어떻게 담았는지에 따라 USB 이동 가능성이 달라집니다. 아래 표는 일반적으로 구분되는 유형별 차이를 정리한 것입니다.
| 구분 | 키 저장 위치 | USB 이동 가능성 |
|---|---|---|
| 키 생성형 토큰 | 토큰 내부 | 원칙적으로 불가 |
| 인증서만 저장형 | 토큰 메모리 | 인증서 파일은 가능 |
| 범용 저장매체형 | 이동식 메모리 | 파일 복사 가능 |
중요한 것은 내 토큰이 어느 쪽인지 아는 것입니다. 발급 당시 어떤 방식으로 키를 만들었는지, 토큰 제조사의 관리 도구에서 내보내기 메뉴가 아예 없는지, 아니면 인증서 내보내기만 허용되는지를 확인해야 합니다. 내보내기 메뉴가 보이지 않는다면 그것이 곧 정책상 막혀 있다는 신호입니다.
USB로 옮기려면 어떤 절차를 밟아야 할까
보안토큰에 있는 키를 그대로 꺼낼 수 없다면, USB용으로 인증서를 다시 발급받는 방향으로 접근해야 합니다. 실제로 따라 할 수 있는 순서는 다음과 같습니다.
- 사용 중인 인증기관(CA)의 통합지원포털에서 재발급 또는 저장매체 변경 절차를 확인합니다.
- 기존 보안토큰 인증서를 폐지할지, 유지할지 먼저 결정합니다. 같은 이름으로 두 개를 동시에 쓰면 충돌이 생길 수 있습니다.
- USB를 인증서 저장매체로 인정하는지 확인합니다. 일부 환경은 이동식 디스크 자체를 저장매체로 허용하지 않습니다.
- 발급 완료 후 USB에 인증서가 정상 설치됐는지, 실제 서명·로그인이 되는지 테스트합니다.
- 기존 토큰은 더 이상 쓰지 않는다면 폐지 처리하고, 계속 쓸 경우 보관 장소와 비밀번호 관리 방식을 정합니다.
이 과정에서 준비물과 조건을 미리 정리해두면 시행착오를 줄일 수 있습니다.
| 준비 항목 | 확인 내용 |
|---|---|
| 본인 확인 수단 | 신분증, 휴대폰 |
| 기존 인증서 | 만료 여부 확인 |
| USB 매체 | 저장매체 허용 여부 |
| 발급 비밀번호 | 재발급 시 설정 |
HSM 환경이라면 이야기가 달라집니다
HSM은 개인 사용자가 아니라 기관·기업이 서버에 두고 쓰는 장비입니다. 여기서 관리되는 키는 서버 보안 정책에 따라 다뤄지며, 개인이 USB로 빼내는 것을 전제로 하지 않습니다. 사내에서 HSM 기반 인증을 쓰고 있다면 담당 부서의 키 관리 정책을 먼저 확인하는 것이 순서입니다. 개인 판단으로 매체를 옮기려 하면 보안 정책 위반이 될 수 있습니다.
참고로 Apple 플랫폼 보안 문서는 암호화와 보안 인증을 제공하는 업계 표준 프로토콜과 개발자 키트 보안 같은 개념을 다루지만, 이는 공동인증서의 매체 이동 절차와는 별개 영역입니다. 보안 일반 원칙을 이해하는 참고 자료로만 보는 것이 적절합니다.
자주 헷갈리는 부분
Q. 인증서 파일만 USB에 복사하면 다른 PC에서도 쓸 수 있나요?
인증서 파일만으로는 부족합니다. 서명에 쓰이는 개인키가 함께 있어야 하며, 키가 토큰 내부에만 있다면 복사한 파일로는 인증이 되지 않습니다.
Q. 보안토큰을 잃어버리면 USB로 옮긴 사본으로 대체할 수 있나요?
토큰 내부 키를 꺼낼 수 없는 구조라면 사본 자체가 존재하지 않습니다. 이 경우 재발급 절차를 밟아야 합니다.
Q. USB로 옮기면 보안이 약해지지 않나요?
저장 위치가 바뀌는 만큼 관리 책임도 사용자에게 넘어옵니다. USB 분실·복제 위험을 고려해 비밀번호 설정과 매체 관리가 필요합니다.
Q. 재발급 없이 매체만 바꾸는 방법은 없나요?
토큰 제조사 관리 도구에 내보내기 기능이 있는지가 관건입니다. 기능이 없다면 재발급이 유일한 경로로 보는 것이 현실적입니다.
정리하면, 보안토큰에서 USB로의 직접 내보내기는 키 보호 설계상 기본적으로 막혀 있는 경우가 많고, 가능 여부는 토큰 유형과 인증기관 정책에 따라 결정됩니다. 이동이 필요하다면 복사가 아니라 재발급·저장매체 변경 절차를 통해 접근하는 것이 안전합니다.