규정은 이미 발효되어 있다
eIDAS 2.0(Regulation (EU) 2024/1183)은 2024년에 발효됐습니다. 논의 단계가 아니라 시행 단계입니다. 핵심은 하나입니다. EU 회원국은 자국민에게 디지털 신원 지갑(EUDI Wallet)을 제공해야 하고, 일정 범위의 서비스 제공자는 그 지갑을 받아들여야 합니다.
"받아들여야 한다"가 규정의 무게를 결정합니다. 지갑을 만드는 쪽만의 문제가 아니라, EU에서 사업하는 쪽 모두의 문제가 됩니다.
한국 기업에게 이것이 의미하는 것
두 가지 경우로 나뉩니다.
첫째, EU에 서비스를 제공하는 경우. 고객이 EUDI 지갑으로 신원을 제시하겠다고 할 때 받을 수 있어야 합니다. 이는 검증자(Verifier) 역할입니다. 자체적으로 구축하든 붙여 쓰든, OID4VP 1.0과 HAIP 1.0을 이해하는 구현이 필요합니다.
둘째, 국내에서 발급한 신원을 EU에서 통용시키려는 경우. 이는 발급자(Issuer) 역할이고, 훨씬 까다롭습니다. 자격증명의 포맷, 서명 알고리즘, 신뢰 체계가 EU가 채택한 것과 같아야 합니다.
기술적으로는 무엇이 정해졌나
EU는 지갑 생태계의 상호운용 기준으로 HAIP(High Assurance Interoperability Profile) 를 기반에 두었습니다. HAIP는 새로운 표준이 아니라 기존 표준들의 조합을 좁혀 놓은 프로파일입니다.
| 무엇을 | 무엇으로 |
|---|---|
| 자격증명 포맷 | SD-JWT VC (선택적 공개 지원) 및 ISO/IEC 18013-5 mdoc |
| 발급 프로토콜 | OID4VCI 1.0 |
| 제시 프로토콜 | OID4VP 1.0 (`direct_post.jwt`) |
| 보안 | FAPI 2.0 수준의 인가 — PAR, PKCE, DPoP |
이 조합을 "지원한다"고 말하는 것과 실제로 상호운용되는 것은 다릅니다. 그래서 OpenID Foundation은 컨포먼스 스위트를 배포합니다. 발급자·검증자·지갑 각각에 대한 테스트 플랜이 있고, 수십 개 모듈이 정상 흐름과 오류 흐름을 모두 검사합니다.
준비 상태를 확인하는 방법
벤더가 "eIDAS 2.0 대응"이라고 말할 때 확인할 것은 세 가지입니다.
1. 어느 역할을 시험했는가. 발급자만 통과한 것과 발급자·검증자·지갑을 모두 통과한 것은 다릅니다.
2. 어느 버전인가. OID4VCI/OID4VP는 FINAL 이전 draft가 여럿 있었고, 서로 호환되지 않습니다.
3. SKIPPED와 REVIEW가 몇 개인가. 통과 개수만 보면 안 됩니다. 어떤 선택 기능을 구현하지 않았는지가 그 숫자에 들어 있습니다.
저희가 결과를 모듈 단위로 공개하는 이유입니다. 숫자 하나로 요약하면 이 세 가지를 확인할 수 없습니다.
지금 할 수 있는 일
규정 시행 시점에 맞춰 시작하면 늦습니다. 검증자 역할은 비교적 빨리 붙일 수 있지만, 발급자 역할은 자격증명 스키마와 신뢰 모델을 정하는 데만도 시간이 걸립니다. 지금 확인해 둘 것은 간단합니다 — 우리 서비스에서 신원이 필요한 지점이 어디이고, 그중 EU와 닿는 곳이 어디인가.