지문정보 이용 스마트폰 포렌식과 통제방안 (Control Measures for Smartphone Forensics Using Fingerprint Information)

서지정보

· 발행기관 : 한국치안행정학회
· 수록지 정보 : 한국치안행정논집 / 16권 / 1호 / 73 ~ 92페이지
· 저자명 : 김영웅, 손지훈, 손유리, 박성현, 김기범

초록

애플은 2013년에 아이폰에 내장된 패스코드(Passcode) 방식에 더하여 지문인증 방식의 TouchID를 추가로 도입하였다. 제조사들이 고객의 프라이버시를 보호하기 위하여 다양한 암호화 방식을 도입함으로써 스마트폰에서 증거를 획득하는 것이 점차 어려워지고 있고, 이는 수사기관에 새로운 위협이 되고 있다. 이에 따라 수사기관은 복호화가 어려운 패스코드 대신에 지문인증의 잠금을 해제하는 방법을 연구하기 시작하였는데 그 중 하나가 모조지문을 이용하는 것이다. 현재 국내·외에서 다양한 기술적 방법이 제시되었고, 본 연구진의 간단한 실험으로도 가능성이 확인되었다. 모조지문이 수사현장에서 활용되기 위해서는 연속하여 5회 이내에, 최초 잠금장치가 해제된 이후 최대 48시간 이내에 지문인증에 성공해야 하기 때문에 이용자의 10개 손가락 지문 중 먼저 인증해야할 5개를 선정해야 한다. 이를 위해 전국의 스마트폰 이용자 647명을 대상으로 설문조사를 실시하여 Top 5를 확률적으로 제시하였다.
하지만 기술적으로 가능하다고 무조건 사용할 수 없다. 국가가 보유하는 지문정보를 수사기관이 모조지문 제작에 이용하는 것은 정보자기결정권을 과도하게 침해할 우려가 있다. 헌법재판소에서 주민등록법의 이용목적에 범죄수사가 포함된다고 결정하여 모조지문 제작에 아무런 통제장치 없이 지문정보를 이용할 수 있어 그 위험성이 더욱 크다. 지문정보는 신원확인을 넘어 증거를 확보할 수 있는 마스터키로 활용될 수 있고, 생체정보로 유출될 경우 변경이 불가능해서 피해가 크기 때문에 보다 엄격한 규제가 필요하다.
따라서 범죄수사 목적으로 모조지문을 제작하기 위해 지문정보를 사용하는 행위에 대해 법률적 근거가 마련되어야 한다. 구체적으로 살펴보면 먼저 지문정보의 이용 목적을 명확히 하고, 범죄수사에 대한 필요성뿐만 아니라 보충성까지 요건으로 제시할 필요가 있다. 대상범죄도 중대범죄로 제한하고, 범죄수사 목적을 달성한 경우에는 지체 없이 폐기해야 한다. 그리고 위법한 방법으로 이용하는 경우에 벌칙조항을 두는 것도 필요하다. 이를 통해서 지문정보 이용에 대한 모호한 법적상태를 해소하여 범죄수사에 활용함과 동시에 오·남용을 통제하는 방안이 조속히 마련되기를 촉구한다.

영어초록

In 2013, Apple introduced a new fingerprint-certified touchID in addition to the passcode method built into the iPhone. As manufacturers introduce various encryption methods to protect customer privacy, obtaining evidence from smartphones is becoming increasingly difficult, posing a new threat to investigative agencies. As a result, the investigation agency began to study how to unlock fingerprint authentication instead of passcode that are difficult to decode, one of which is to use fake fingerprints. Various methods were presented domestically and internationally, and the technical possibilities were confirmed through a simple experiment by the researchers. Furthermore, in order for fake fingerprints to be utilized at the investigation phase, five of the 10 fingerprints of the user must be chosen to be certified first, since fingerprint authentication must be successful within five consecutive times and up to 48 hours after the initial unlocking. To this end, a survey of 647 smartphone users nationwide was conducted and TOP5 was presented stochistically. However, it does not mean that we can use the related technology unconditionally, just because it is technically possible. The use of fingerprint information held by the state for the production of fake fingerprints by investigative agencies could excessively infringe upon the right to personal information self-determination. The damage can be serious because fingerprint information can be used as master key in cyberspace and it is a biometric information which cannot be changed even when it is leaked.
Therefore, the Fingerprint Information Act should provide explicit regulations for the use of fingerprint information for criminal investigation purposes, and should require not only the need for criminal investigation but also the supplementality. The use of fingerprint information should be restricted to serious crimes, not all crimes, and fingerprint information and fake fingerprints that have met the purpose of criminal investigation should be discarded immediately. Finally, to prevent fingerprint information used in illegal ways, the establishment of a new clause on penalties should also be considered. Through this process, it is urged legislation be enacted as soon as possible to resolve ambiguous legal status of the use of fingerprint information to enable investigation agency to use it as a crime investigation purpose, and at the same time, to control the misuse.

참고자료

· 없음