티스토리 뷰
목차
얼마 전 해외 사이트 하나에 가입하려다가 캡차(CAPTCHA) 퍼즐을 세 번 연속 틀렸습니다. 분명히 사람인데, 사람이 아니라는 판정을 받은 셈이었죠. 황당하기도 했고, 한편으론 이 상황 자체가 뭔가 이상하다는 생각이 들었습니다. 내가 사람이라는 걸 왜 이렇게 매번 증명해야 하는 걸까. 그 질문이 저를 DID, 즉 탈중앙화 신원 증명이라는 개념으로 이끌었습니다. 알고 보니 이건 단순한 기술 용어가 아니라, 지금 우리가 사는 디지털 세상의 근본적인 구조 문제를 건드리는 이야기였습니다.
탈중앙화 신원이란 무엇인가
DID는 Decentralized Identifier의 약자입니다. 여기서 '탈중앙화(Decentralized)'란 특정 기업이나 정부 기관의 서버가 아닌, 개인 스스로가 자신의 신원 정보를 보관하고 통제하는 구조를 뜻합니다. 현재 우리가 쓰는 주민등록번호 체계를 떠올리면 이해가 빠릅니다. 주민등록번호는 국가가 발행하고, 국가 데이터센터에 보관됩니다. 제가 뭔가 증명이 필요할 때는 반드시 정부24나 민원센터를 거쳐야 하죠. 저는 내 정보의 주인이지만, 실제 열쇠는 국가가 쥐고 있는 구조입니다.
DID는 이 구조를 뒤집습니다. 제 신원 정보는 제 스마트폰이나 제가 지정한 저장소에 있고, 어떤 서비스가 이를 필요로 할 때 저에게 승인 요청을 보냅니다. 제가 허락한 정보만, 제가 허락한 만큼만 전달되는 방식입니다. 예를 들어 편의점에서 술을 살 때, 지금은 신분증을 통째로 보여줘야 합니다. 주소, 주민번호 뒷자리까지 다 노출되죠. DID가 확산된 세계라면, '저는 19세 이상입니다'라는 사실 하나만 선택적으로 전달하는 게 가능해집니다.
이 개념을 기술적으로 구현한 건 공개키-개인키 암호화 방식입니다. 공개키(Public Key)란 누구나 볼 수 있는 나의 식별자이고, 개인키(Private Key)는 나만 가진 비밀 열쇠입니다. 대학 졸업 증명을 예로 들면, 학교 측이 공개키로 졸업 사실을 제 DID 지갑에 발급해 주면, 저는 개인키로 '이게 나 맞다'는 암호화 서명을 생성해 증명을 완성합니다. 제가 직접 써보니 이 흐름은 꽤 직관적이었고, 핵심은 '검증은 블록체인 네트워크가, 보관은 나 스스로가'라는 분리입니다.
- 내 정보를 필요한 만큼만 선택적으로 공개할 수 있습니다
- 특정 기업이나 기관에 신원 정보가 종속되지 않습니다
- 개인키를 잘 관리하면 플랫폼 계정 정지나 해킹 피해를 줄일 수 있습니다
개인정보 자기주권
DID라는 개념이 처음 등장한 건 2016년이지만, 지금 이 시점에 다시 주목받는 데는 몇 가지 맥락이 있습니다. 솔직히 이건 예상 밖이었는데, 이 개념이 단순히 '해킹 대응 기술'로 끝나지 않는다는 점이었습니다. 인터넷이 처음 만들어질 때, 애초에 '접속자가 누구인지 확인하는 방법'은 설계에 없었습니다. 기기와 기기를 연결하는 통신 프로토콜이었을 뿐, 사람 신원 증명은 나중에 덧붙여진 개념이죠. 2005년 마이크로소프트의 한 엔지니어가 "인터넷은 누구와 연결되는지 알 방법 없이 만들어졌다"고 남긴 말이 이걸 정확히 요약합니다.
그 빈틈을 아이디와 패스워드로 막으려 했고, 그다음엔 구글·카카오 같은 소셜 로그인이 등장했습니다. 자기 주권(Self-Sovereignty)이라는 관점에서 보면 이 구조는 사실 더 취약해진 것입니다. 내 신원의 열쇠를 플랫폼 기업에 통째로 위임한 셈이니까요. X나 인스타그램에서 계정이 정지되는 순간, 그 플랫폼 안에서 저라는 존재는 사실상 사라집니다. 제 경험상 이건 단순한 불편 수준이 아닙니다.
더 심각한 건 해킹 규모입니다. 최근 국내 대형 이커머스 플랫폼 한 곳에서만 약 3,300만 건의 개인정보가 유출됐고, 이동통신사들에서도 약 2,000만 건이 털렸습니다. 국민 수가 약 5,100만 명이니 숫자만 보면 사실상 전국민 정보가 다 노출된 것과 같습니다. 그런데 이런 뉴스에 우리가 점점 둔감해지고 있다는 게 더 무섭습니다. 중앙화된 서버 한 곳에 모든 정보가 몰려 있으니, 해커 입장에선 '한 방에 털 수 있는 목표'가 생기는 겁니다. 여기에 AI 발전으로 해킹 공격력까지 기하급수적으로 커지고 있다는 점에서, 자기 주권 신원(Self-Sovereign Identity, SSI) — 즉 내 정보의 통제권을 내가 직접 갖는 방식 — 에 대한 논의가 불가피해졌습니다.
이런 배경에서 W3C(World Wide Web Consortium), 즉 인터넷 표준을 관장하는 글로벌 협회가 DID 기본 규격을 공식 표준으로 채택하기에 이르렀습니다(출처: W3C DID Core Specification). 또한 인터넷 트래픽의 약 51%가 이미 봇, 즉 사람이 아닌 AI 에이전트로 채워지고 있다는 통계(출처: Imperva 2024 Bad Bot Report)는 이 문제가 얼마나 현실적인지 보여줍니다. 내가 대화하는 상대, 내가 보는 댓글이 사람인지 봇인지 판별하는 것 자체가 지금 이미 어렵습니다.
디지털 신분증의 현재와 미래
DID가 먼 미래 얘기인 줄 알았습니다. 그런데 알고 보니 이미 쓰고 있었습니다. 스마트폰에 설치된 모바일 신분증이 바로 DID 방식으로 작동하거든요. 외형은 기존 신분증과 똑같아 보이지만, 백엔드에서는 개인키가 제 기기 안에 저장되어 있고, 관공서나 공항이 이를 '요청'해서 가져가는 구조입니다. 여권에 내장된 전자칩도 마찬가지입니다. 핸드폰을 여권에 갖다 대면 인식되는 그 기능, 그게 DID의 역할을 하고 있는 겁니다.
생체 정보를 활용한 프로젝트도 있습니다. 샘 알트만이 공동 창업한 월드코인(Worldcoin)은 '오브(Orb)'라는 기기로 홍채를 스캔해 내가 사람임을 증명합니다. 홍채 인식 결과는 블록체인 네트워크에서 검증되고, 이를 통해 발급된 월드 ID는 다양한 서비스에서 '이 사용자는 진짜 인간'임을 증명하는 데 쓰입니다. 일본 틴더가 월드 ID로 성별과 실제 인간 여부를 검증하도록 도입한 것도 이 맥락입니다. 제가 보기에 이 시도 자체는 방향이 맞습니다. AI가 대화 상대를 위장하거나, 딥페이크로 화상회의 참석자를 속여 340억 원을 송금하게 만든 사건이 이미 현실에서 일어났으니까요.
다만 풀어야 할 숙제도 명확합니다. 정부가 발행하는 DID는 국경 안에서는 강력하지만 해외에선 통용이 안 될 수 있고, 민간 DID는 특정 커뮤니티 안에서만 유효합니다. BTS 아미 멤버십을 증명하는 NFT는 전 세계 콘서트장에서 통하지만, 한국 모바일 신분증은 일본 경찰 앞에서 통하지 않을 수 있죠. 결국 기술 자체보다 글로벌 표준 합의가 더 큰 과제입니다. 그리고 셀프 커스터디(Self-Custody) — 즉 내 키를 내가 직접 관리한다는 것 — 는 분실하면 복구가 어렵다는 책임도 함께 옵니다. 편의점에서 신분증 잃어버리면 재발급하면 그만이지만, 개인키를 잃으면 얘기가 달라집니다.
자주 묻는 질문
Q. DID와 기존 아이디·패스워드 로그인은 뭐가 다른 건가요?
A. 아이디·패스워드는 내 신원 정보가 해당 플랫폼 서버에 저장됩니다. 플랫폼이 해킹당하거나 계정을 정지시키면 저는 아무것도 할 수 없죠. DID는 신원 정보가 제 기기에 있고, 플랫폼은 제가 허락한 정보만 확인할 수 있습니다. 통제권의 위치 자체가 다릅니다.
Q. 모바일 신분증이 DID라는 게 사실인가요?
A. 네, 맞습니다. 외형은 기존 신분증과 같아 보이지만 백엔드 구조는 DID 방식입니다. 개인키가 제 스마트폰에 저장되어 있고, 검증이 필요한 기관이 해당 정보를 요청해 확인합니다. 블록체인 토큰은 없지만 작동 원리는 DID입니다.
Q. 월드코인 홍채 스캔, 개인정보 문제 없나요?
A. 홍채 정보는 국내에서 민감 개인정보로 분류되어 국외 유출이 제한됩니다. 국내에서 한때 과징금 및 수정 권고가 내려졌고, 케냐·인도네시아 등에서도 규제 이슈가 있었습니다. 현재는 권고안 수용 후 정상 운영 중이지만, 생체 정보 수집에 동의하기 전 약관을 꼼꼼히 확인하는 것이 좋습니다.
Q. DID 개인키를 잃어버리면 어떻게 되나요?
A. 셀프 커스터디의 가장 큰 리스크가 바로 이겁니다. 기존 방식은 플랫폼이 비밀번호 재설정을 도와줬지만, DID는 개인키 분실 시 복구가 매우 어렵습니다. 별도의 백업 수단을 마련해두는 것이 필수이고, 이 부분이 대중 확산의 현실적 걸림돌 중 하나입니다.
Q. DID가 해외에서도 통하나요?
A. 정부 발행 DID는 각국 표준이 달라 국경 밖에서는 인정받지 못하는 경우가 있습니다. 반면 민간 커뮤니티 기반 DID(예: NFT 멤버십 등)는 해당 커뮤니티 내에서 전 세계 어디서나 통용됩니다. 국가 간 표준 합의가 아직 진행 중인 단계입니다.
결론
처음엔 캡차 퍼즐을 틀리면서 시작된 단순한 불편감이 DID라는 개념까지 이어졌는데, 공부하면서 이게 단순한 보안 기술이 아니라는 걸 점점 실감했습니다. 인터넷이 설계될 때부터 빠져 있던 '신원 확인 레이어'를 뒤늦게 채우는 작업이고, AI 시대에는 그 필요성이 훨씬 더 커지고 있습니다.
저는 당장 DID 지갑을 직접 운영하거나 블록체인 기반 신원 서비스를 쓸 계획은 없습니다. 하지만 모바일 신분증이 어떻게 작동하는지, 내 개인정보가 어디에 저장되어 있는지 정도는 이해하고 쓰는 것과 모르고 쓰는 건 분명히 다릅니다. DID가 어떻게 발전하는지 관심을 갖고 지켜보는 것 자체가 가장 현실적인 일이라고 생각합니다.