미국 뉴욕(New York)과 버지니아(Virginia)주 운전면허증 뒷면 바코드에 숨겨져 있던 디지털 서명 방식이 역공학(reverse engineering)을 통해 분석되어, 데이터의 진위를 검증할 수 있는 공개키가 복구되었습니다. 이는 발급 기관인 주 차량국(DMV) 외부에서도 운전면허증 정보의 위변조 여부를 확인할 수 있는 길을 열었다는 점에서 중요한 의미를 가집니다. 그동안 이들 주의 운전면허증 바코드는 암호학적 서명이 적용되어 있었지만, 검증에 필요한 정보가 공개되지 않아 사실상 발급 DMV만 진위를 확인할 수 있었습니다.
이번 분석 결과, 캐나디안 뱅크 노트(Canadian Bank Note, CBN)가 제조한 뉴욕과 버지니아 운전면허증 바코드 서명은 ECDSA P-256 표준을 따르며, 서명 필드를 0으로 채운 전체 바코드 데이터를 서명 대상으로 사용한다는 사실이 밝혀졌습니다. 연구팀은 여러 장의 카드에서 얻은 서명을 바탕으로 수학적 방법을 통해 공개키를 복구하는 데 성공했습니다. 복구된 공개키를 이용해 위조 바코드를 걸러낼 수 있었지만, 정상적인 바코드 데이터를 위조 카드에 복사하는 경우에는 여전히 검증을 통과하는 한계도 드러났습니다. 반면, 캘리포니아(California)주는 W3C 검증 가능한 자격 증명 바코드(Verifiable Credential Barcode) 표준에 따라 서명 구조, 공개키, 오픈소스 검증기를 모두 공개하여 누구나 검증할 수 있도록 하고 있습니다.
이번 연구는 운전면허증과 같은 신분증의 디지털 보안을 강화하는 데 있어 기술적 가능성과 함께 정책적 개선의 필요성을 동시에 보여줍니다. 이미 기술적으로 구현 가능한 서명 검증 시스템이 존재함에도 불구하고, 많은 주 정부가 이를 공개하거나 표준화하지 않아 외부 검증이 어렵다는 점이 문제입니다. 캘리포니아주 사례처럼 제조사인 아이데미아(IDEMIA)가 공급하는 다른 주들에도 검증 가능한 서명 바코드 시스템을 확대 적용하고, CBN 역시 이미 구현된 서명 방식을 문서화하여 공개키를 웹에 게시하는 노력이 필요합니다. 이는 신분증 위변조를 막고 디지털 신뢰를 구축하는 데 필수적인 단계이며, 기술 자체보다 검증을 허용하려는 의지가 더 큰 장애물임을 시사합니다.