파일럿·C2PA 심사 중 · 한국 2027.03 · 일본 2027.06 · 모법 대한민국
저작권 C-2026-036487 · 특허출원 10-2026-0100026(등록 전)
과정 목차
10장 중 4장
4장서명은 '누가 만들었는지'를 알려 줘요
이 장에서는 연습 환경에서 파일에 증명서를 직접 붙이고, 다시 열어서 제대로 붙었는지 확인해요. 서명이 무엇을 알려 주고 무엇은 알려 주지 않는지도 배워요.
이 장에서 배울 것
- 비밀 열쇠(개인키)와 공개 열쇠(공개키)의 역할을 알아요.
- 서명된 파일과 서명 없는 파일의 검증 결과 차이를 알아요.
- '확인된 것'과 '확인되지 않은 것'을 나눠 적을 수 있어요.
쉽게 이해하기
인감 도장과 봉인 테이프와 같아요
인감 도장은 주인만 가지고 있어서, 찍힌 자국을 보면 누가 찍었는지 알 수 있어요. 봉인 테이프는 한 번 뜯으면 티가 나요. 디지털 서명은 이 둘을 합친 거예요. 하지만 도장이 진짜라고 해서 서류 내용까지 사실인 것은 아니에요.
서명에는 열쇠 두 개가 짝으로 쓰여요. 비밀 열쇠(개인키)는 서명하는 사람만 가지고 있고, 공개 열쇠(공개키)는 누구나 볼 수 있어요.
서명할 때는 파일의 해시(2장)를 비밀 열쇠로 잠가요. 이것이 서명이에요. 확인할 때는 공개 열쇠로 서명을 열고, 파일의 해시를 다시 계산해 서로 같은지 봐요.
둘이 같으면 '이 열쇠의 주인이 서명했고, 그 뒤로 파일이 바뀌지 않았다'는 뜻이에요. 다르면 무결성 실패, 즉 서명한 뒤 파일이 바뀌었거나 서명이 손상됐다는 뜻이에요.
서명은 '누가 서명했는지'를 알려 줄 뿐이에요. 사진 속 장면이 실제로 있었는지는 알려 주지 않아요. 이것을 '서명 ≠ 픽셀 진실'이라고 짧게 말해요.
비밀 열쇠를 잃어버리면 누구나 그 이름으로 서명할 수 있게 돼요. 그래서 실제 서명 열쇠는 인터넷과 떨어진 곳이나 전용 보안 장치(HSM)에 보관해요. 실습생은 비밀 열쇠에 접근하지 않아요.
그림으로 보기
- 해시 계산파일의 지문
- 비밀 열쇠로 잠그기서명 만들기
- 파일에 붙이기매니페스트 + 서명
- 공개 열쇠로 확인해시가 같은지 비교
직접 해 보기
위에서부터 한 단계씩 해요. 단계마다 '이렇게 보이면 성공'과 같은지 확인해요.
- 검증 페이지의 '파일을 넣으면 바로 확인해요' 칸에서 '서명된 샘플'을 눌러요. 파일은 서버로 가지 않고 이 브라우저 안에서만 확인해요.이렇게 보이면 성공 '서명이 맞고, 서명한 뒤 바뀐 곳이 없어요'가 나오고, '서명한 곳' 칸에 서명한 곳의 이름이 보여요.검증 페이지 열기로그인 없이
- 같은 칸에서 '기록 없는 사진'을 눌러 결과를 비교해요.이렇게 보이면 성공 '이 파일에는 C2PA 기록이 없어요'가 나오고, 기록이 없다고 가짜라는 뜻은 아니라는 안내가 함께 보여요.로그인 없이
- (선택) 공개 샘플 사진을 내려받아 같은 칸에 끌어다 놓거나 '파일 고르기'로 넣어요.이렇게 보이면 성공 '서명이 맞고, 서명한 뒤 바뀐 곳이 없어요'가 나오고, '신뢰 목록' 칸에는 아직 공식 목록에 없는 시험용 인증서라는 안내가 보여요.샘플 사진 내려받기로그인 없이
- 결과를 보고 '확인된 것'과 '확인되지 않은 것'을 나눠 적어요. 예: 확인된 것 = 서명자, 서명 뒤 변경 없음. 확인되지 않은 것 = 장면이 사실인지.이렇게 보이면 성공 두 칸에 각각 두 개 이상 적혀 있어요.로그인 없이
멘토와 함께 하는 부분 · PKI 멘토가 실제 서명 열쇠를 왜 전용 보안 장치(HSM)에 두는지, 열쇠를 잃어버리면 무슨 일이 생기는지 설명해 줘요.
잘 됐는지 확인하기
아래를 모두 '예'라고 답할 수 있으면 이 장을 마친 거예요.
- 비밀 열쇠와 공개 열쇠가 각각 누구에게 있는지 말할 수 있나요?
- '서명이 맞고, 서명한 뒤 바뀐 곳이 없어요'와 '이 파일에는 C2PA 기록이 없어요'의 차이를 설명할 수 있나요?
- 확인된 것과 확인되지 않은 것을 나눠 적었나요?
헷갈리기 쉬운 것
- 흔한 오해서명이 유효하면 사진 속 장면도 사실이에요.실제로는서명은 누가 서명했는지와 그 뒤로 바뀌지 않았다는 것만 알려 줘요. 장면이 사실인지는 따로 확인해야 해요.
- 흔한 오해'C2PA 기록이 없어요'는 누가 조작했다는 뜻이에요.실제로는서명이 없다는 뜻일 뿐이에요. 처음부터 서명하지 않았거나 전달 중에 지워졌을 수 있어요.
- 흔한 오해공개 열쇠만 있으면 남의 이름으로 서명할 수 있어요.실제로는서명은 비밀 열쇠로만 만들 수 있어요. 공개 열쇠로는 확인만 할 수 있어요.
확인 문제
문제 1서명을 만들 때 쓰는 열쇠는 무엇인가요?답 보기답 접기
비밀 열쇠(개인키)예요. 확인할 때는 공개 열쇠(공개키)를 써요.문제 2'서명이 맞고, 서명한 뒤 바뀐 곳이 없어요'가 나왔어요. 이 결과로 알 수 있는 것과 없는 것은 무엇인가요?답 보기답 접기
누가 서명했는지와 서명 뒤 파일이 바뀌지 않았다는 것은 알 수 있어요. 내용이 사실인지는 알 수 없어요.문제 3실제 서명 열쇠를 전용 보안 장치(HSM)에 두는 이유는 무엇인가요?답 보기답 접기
비밀 열쇠가 새어 나가면 누구나 그 이름으로 서명할 수 있게 되기 때문이에요.
용어 정리
- 디지털 서명digital signature
- 비밀 열쇠로 만든 표시예요. 누가 서명했는지와 변경 여부를 알려 줘요.
- 개인키private key
- 서명하는 사람만 가진 비밀 열쇠예요.
- 공개키public key
- 누구나 볼 수 있는 열쇠예요. 서명을 확인할 때 써요.
- 무결성integrity
- 서명한 뒤로 파일이 바뀌지 않았다는 성질이에요.
- HSMhardware security module
- 비밀 열쇠를 안전하게 보관하는 전용 보안 장치예요.
실습 기록지
인쇄해서 손으로 쓰거나, 같은 항목을 문서에 옮겨 적어요. 멘토 확인을 받으면 끝이에요.
4장 실습 기록지서명은 '누가 만들었는지'를 알려 줘요
- 실습 날짜
- 작성자
- 멘토 확인
- '서명된 샘플' 확인 결과 (결과 문장, 서명한 곳, 신뢰 목록)
- '기록 없는 사진' 확인 결과
- 연습 서명 → 내려받기 → 검증 결과
- 확인된 것 (두 가지 이상)
- 확인되지 않은 것 (두 가지 이상)
- 멘토에게 들은 HSM 설명 요약