PDF 서명의 두 얼굴: 서명 그림과 전자서명, 그리고 각국 법이 말하는 것
PDF에 붙인 서명 이미지와 인증서로 만든 전자서명은 기술적으로 전혀 다른 물건이다. 원리, PAdES 표준, 한국 전자서명법(2020 개정)·EU eIDAS·일본 전자서명법·미국 ESIGN법의 태도를 정리한다.
계약서 PDF의 마지막 페이지에 손글씨 서명을 찍은 PNG를 올려 보내는 일은 이제 흔합니다. 받는 사람도 대개 아무 문제 없이 받아들입니다. 그런데 같은 「PDF 서명」이라는 말 아래에는 기술적으로 전혀 다른 두 가지가 섞여 있습니다. 하나는 종이 서명을 흉내 낸 그림이고, 다른 하나는 문서 내용에 수학적으로 묶인 암호 서명입니다. 둘을 구별하면 「이 정도면 충분한가」라는 질문에 스스로 답하기가 훨씬 쉬워집니다.
그림 서명: 붙이는 순간 복사도 가능하다
PDF 텍스트·이미지 추가 도구 같은 것으로 서명 이미지를 페이지에 얹으면, 파일 안에는 이미지 객체 하나와 그것을 그리라는 명령이 추가될 뿐입니다. 이 이미지는 문서의 다른 내용과 아무 관계가 없습니다.
- 누구든 그 이미지를 추출해 다른 문서에 붙일 수 있습니다.
- 서명을 붙인 뒤 본문의 금액이나 날짜를 고쳐도 파일에는 아무 흔적이 남지 않습니다.
- 파일만 보고는 누가 붙였는지 알 수 없습니다.
그렇다고 그림 서명이 의미가 없는 것은 아닙니다. 서명의 법적 의미는 대체로 「이 사람이 이 내용에 동의했다는 의사 표시」에 있고, 그 의사는 이메일 교환, 서명 전후의 대화, 이행 사실 같은 다른 증거로도 입증됩니다. 다만 다툼이 생겼을 때 그림 자체는 증명력이 약하고, 입증 책임은 결국 주변 증거로 넘어갑니다.
전자서명: 해시와 개인키로 문서에 묶는다
인증서 기반 전자서명은 공개키 암호를 씁니다. 서명하는 사람은 개인키를 가지고 있고, 짝이 되는 공개키는 인증서에 담겨 누구에게나 공개됩니다. PDF에 서명할 때는 대략 이렇게 진행됩니다.
- 서명 데이터가 들어갈 빈자리를 남기고 파일을 저장합니다.
- 그 빈자리를 뺀 나머지 바이트 전부(ByteRange)의 해시를 계산합니다.
- 해시(와 서명 시각 같은 속성)에 개인키로 서명한 값을 인증서와 함께 CMS 형식으로 묶어 빈자리에 넣습니다.
검증하는 쪽은 같은 범위의 해시를 다시 계산하고, 인증서의 공개키로 서명 값을 풀어 비교합니다. 파일이 한 바이트라도 바뀌었으면 해시가 달라지고, 개인키 없이는 맞는 서명 값을 새로 만들 수 없습니다. 그래서 전자서명은 두 가지를 보장합니다. 서명 이후 문서가 바뀌지 않았다는 것(무결성), 그리고 그 개인키를 가진 사람이 서명했다는 것입니다.
「그 개인키를 가진 사람이 누구인가」는 인증서가 답합니다. 인증기관이 신원을 확인하고 발급한 인증서라면 뷰어가 신뢰 목록과 대조해 초록색 표시를 해 주고, 스스로 만든 자체 서명 인증서라면 「서명자 신원을 알 수 없음」이 뜹니다. 암호학적으로는 똑같이 튼튼하지만 신원 보증의 크기가 다릅니다.
PAdES: 오래 버티는 서명을 위한 표준
PDF 규격(ISO 32000) 자체에도 서명 형식이 있지만, 유럽에서는 ETSI가 정한 PAdES(ETSI EN 319 142)가 사실상의 기준입니다. PAdES 기본 서명은 서명 사전의 SubFilter를 ETSI.CAdES.detached로 쓰고, 서명 인증서를 가리키는 속성을 서명 대상에 포함하는 등 요건을 더합니다. 그리고 네 단계를 정의합니다.
| 단계 | 추가되는 것 | 의미 |
|---|---|---|
| B-B | 기본 서명 | 서명과 서명자 인증서 |
| B-T | 신뢰할 수 있는 타임스탬프 | 「이 시각 이전에 서명이 존재했다」를 제3자가 보증 |
| B-LT | 검증 자료(인증서 체인, 폐지 정보) | 인증기관이 사라지거나 온라인 조회가 안 돼도 검증 가능 |
| B-LTA | 문서 타임스탬프 | 쓰인 알고리즘이 약해져도 주기적으로 갱신해 보존 |
단계가 필요한 이유는 인증서의 수명 때문입니다. 개인 인증서는 보통 1~3년이면 만료되는데, 계약서는 10년 뒤에도 증거로 쓰일 수 있습니다. 만료된 인증서로 한 서명이 「서명 당시에는 유효했다」는 것을 보이려면, 서명 시각을 제3자가 보증하고(타임스탬프) 당시의 폐지 정보를 문서에 함께 담아 두어야 합니다.
이 사이트의 PDF 전자서명 도구는 ISO 32000의 기본 형식(adbe.pkcs7.detached)으로 서명합니다. 무결성과 서명자 인증서 검증에는 충분하지만 타임스탬프와 장기 검증 정보가 없어 PAdES 기본 서명에는 해당하지 않습니다. 공공기관 제출처럼 형식이 정해진 경우에는 그 기관이 요구하는 서명 프로그램을 쓰는 것이 맞습니다.
한국: 2020년 공인인증서 폐지와 「선택한 전자서명」
한국은 1999년 전자서명법을 만들면서 공인인증기관이 발급한 인증서로 한 「공인전자서명」에만 서명·날인과 같은 효력을 추정해 주었습니다. 그 결과 공인인증서가 사실상 유일한 수단이 되었고, 액티브X·플러그인 설치 문제와 함께 오랫동안 비판을 받았습니다.
2020년 6월 9일 전부개정된 전자서명법(법률 제17354호)이 2020년 12월 10일 시행되면서 「공인인증서」와 「공인전자서명」이라는 개념 자체가 법에서 사라졌습니다. 기존 공인인증서는 「공동인증서」라는 이름으로 여러 민간 인증서 중 하나가 되었습니다. 개정법 제3조는 두 가지를 말합니다.
- 전자서명은 전자적 형태라는 이유만으로 서명, 서명날인 또는 기명날인으로서의 효력이 부인되지 않는다(제1항).
- 법령의 규정이나 당사자 간 약정에 따라 서명의 방식으로 전자서명을 선택한 경우, 그 전자서명은 서명·서명날인·기명날인으로서의 효력을 가진다(제2항).
즉 한국법에서 전자서명의 효력은 특정 인증서가 아니라 「무엇을 서명 방식으로 정했는가」에 크게 기댑니다. 계약서에 「본 계약은 ○○ 방식의 전자서명으로 체결한다」고 합의해 두면 그 방식이 서명이 됩니다. 반대로 합의 없이 그림 서명만 오간 경우, 서명의 효력이 부인되지는 않지만 누가 붙였는지를 다툴 때는 다른 증거가 필요할 수 있습니다.
EU: eIDAS의 세 단계
EU는 2014년 eIDAS 규정(Regulation (EU) No 910/2014)으로 회원국 공통 틀을 만들었습니다. 전자서명을 세 단계로 나눕니다.
- 단순 전자서명: 서명 의사로 데이터에 붙인 전자적 데이터 전반. 스캔한 서명 그림이나 「동의」 체크도 여기에 들 수 있습니다.
- 고급 전자서명(AdES): 서명자와 고유하게 연결되고, 서명자를 식별할 수 있으며, 서명자만 통제하는 수단으로 만들어지고, 이후 데이터 변경을 탐지할 수 있어야 합니다. 인증서 기반 PDF 서명이 여기에 해당할 수 있습니다.
- 적격 전자서명(QES): 적격 서명 생성 장치와 적격 인증서로 만든 고급 전자서명.
제25조는 전자서명이 전자적이라거나 적격 요건을 갖추지 못했다는 이유만으로 법적 효력과 증거능력을 부인당하지 않는다고 하면서, 적격 전자서명에는 손글씨 서명과 동등한 효력을 줍니다. 한 회원국에서 적격 인증서로 한 적격 서명은 다른 모든 회원국에서도 적격 서명으로 인정됩니다. PAdES는 이 틀에서 고급·적격 서명을 PDF에 담는 표준 형식으로 쓰입니다.
일본: 「본인만이 할 수 있는」 서명과 추정
일본은 2001년 4월 1일 시행된 「전자서명 및 인증업무에 관한 법률」(전자서명법)이 기본입니다. 제3조는 본인이 한 일정 요건의 전자서명이 있는 전자문서는 진정하게 성립한 것, 즉 본인의 의사로 작성된 것으로 추정한다고 정합니다. 요건의 핵심은 그 서명이 「본인만이 할 수 있는」 것이어야 한다는 점으로, 종이 문서에 본인의 도장이 찍혀 있으면 진정 성립을 추정하는 민사소송법의 구조를 전자문서로 옮긴 것입니다.
2020년 이후 클라우드 전자계약이 퍼지면서, 서비스 사업자가 이용자의 지시에 따라 자기 서명키로 서명하는 방식(이른바 입회인형)이 이 조항의 추정을 받을 수 있는지가 쟁점이 되었습니다. 2020년 9월 4일 총무성·법무성·경제산업성은 Q&A를 내고, 서명 과정에서 이용자 본인만이 할 수 있다고 볼 만큼 충분한 수준의 고유성이 확보되면(예: 2단계 인증 등) 제3조의 전자서명에 해당할 수 있다는 해석을 밝혔습니다.
미국: 기술 중립의 ESIGN법
미국은 2000년 제정된 ESIGN법(15 U.S.C. § 7001 이하)이 주 사이 거래 전반에 적용됩니다. 전자서명을 「기록에 붙거나 논리적으로 연결되고, 서명할 의사로 실행·채택한 전자적 소리, 기호 또는 절차」로 넓게 정의하고, 서명·계약·기록은 전자적 형태라는 이유만으로 법적 효력이나 집행력을 부인당하지 않는다고 정합니다. 특정 암호 기술을 요구하지 않으므로, 이메일 끝에 이름을 타이핑한 것도 조건에 따라 서명이 될 수 있습니다. 다만 유언장, 가족법 관련 문서, 법원 명령 등 일부 문서는 적용에서 제외되고, 소비자에게 전자 방식으로 고지할 때는 사전 동의 절차가 따로 요구됩니다. 대부분의 주는 비슷한 내용의 통일전자거래법(UETA)도 채택하고 있습니다.
그림 서명으로 충분한 경우, 부족한 경우
어느 나라든 법은 대체로 「전자적이라는 이유만으로 무효는 아니다」에서 출발합니다. 그래서 질문은 「효력이 있나」보다 「나중에 다툼이 생기면 무엇으로 증명할 것인가」에 가깝습니다. 일반론으로 정리하면 이렇습니다(구체적인 사안은 전문가와 상의하세요).
그림 서명이나 간단한 전자서명으로 무리가 없는 경우:
- 상대방과 오랜 거래 관계가 있고, 이메일 등 다른 경로로 동의 기록이 남는 견적서·발주서
- 사내 결재, 회의록 확인처럼 조직 안에서 기록 시스템이 따로 있는 문서
- 분쟁 위험이 낮고 금액이 작은 일상 거래
인증서 기반 서명이나 법이 정한 방식이 필요한 경우:
- 법령이 특정 서명 방식이나 서면·자필을 요구하는 문서(공공기관 제출, 일부 부동산·금융 서류, 유언 등)
- 상대방의 신원을 대면으로 확인하지 않은 채 큰 금액을 약속하는 계약
- 몇 년 뒤에도 「서명 이후 한 글자도 바뀌지 않았다」를 증명해야 할 수 있는 문서
- 상대방이 특정 형식(예: EU 적격 서명)을 명시적으로 요구하는 경우
기술적으로 한 가지 더 기억할 점이 있습니다. 전자서명은 서명 이후 파일 변경을 드러내지만 내용을 감추지는 않습니다. 서명된 계약서를 이메일로 보내면서 내용도 보호하고 싶다면 PDF 암호 설정이 별도로 필요한데, 서명된 파일에 나중에 암호를 걸면 파일을 다시 쓰면서 서명이 깨집니다. 순서를 정해 두거나 두 기능을 함께 지원하는 프로그램을 쓰세요. 서명이 아닌 단순 표시(「사본」 문구, 날짜, 도장 그림)가 목적이라면 PDF에 텍스트·이미지 추가로 충분합니다.