먼저, 나는 ActiveX (이하 Ax) 개발 자체를 아주 싫어하였기 때문에 Ax 자체에 호감이 없다. 개발자로서 Ax 개발은 지저분하고 디버깅하기도 아주 괴롭고 짜증이 나는 녀석이다. 그리고 나는 최근의 각종 웹 기술에 대해서 별로 알지 못한다. 예를 들어, Ajax라는 녀석이 어떤 녀석이라는 것만 알지 자세히 알지는 못한다.

올블로그에 가보니 Ax 관련해서 열띤 글을 볼 수가 있었다. 많은 사람들이 우리나라의 과도한 Ax 사용을 비난한다. 그러나 Ax 덕분에 웹 기반의 인터넷 뱅킹에서 풍부한 서비스를 사용할 수 있는 것도 사실이다(조금 뒤에가서 부연 설명). 그런데 기존의 서비스를 고스란히 살릴 수 있는 웹 표준에 기반한 대안 기술을 제대로 제시하는 경우는 아직 보지를 못했다.

Ax가 가지는 가장 큰 의미는 웹 환경에서 exe와 같은 임의의 바이너리 파일을 실행하게 한다는 점이다. 과거 버퍼 오버플로우와 같은 보안 취약성을 노린 웜이나 바이러스가 적었을 경우에는 이것은 아주 좋은 기술이었다. exe만 뚝딱 만들 수 있으면 풍부한 웹서비스를 쉽게 제공할 수 있었기 때문이다. 아무리 아작스니 뭐니해도 exe가 할 수 있는 모든 일을 웹이 할 수는 없다.

그러나 임의의 exe를 실행할 수 있다는 점은 심각한 보안 취약성을 내포하고 있다. 수 많은 보안 취약성을 악용하는 공격들의 대표적인 목적이 'remote code execution'이기 때문이다. 그래서 대놓고 웹에서 exe를 실행케하는 Ax는 언제나 취약의 대상이고 MS에서도 이걸 버리려고하는 것이다.

문제는 우리나라의 인터넷 뱅킹 같은 곳을 들어가면, 키보드 해킹 보안이랍시고 각종 보안 툴이 Ax를 통해 설치가 된다 (사실 사용자에게 해킹 보안 툴을 직접 다운 받아 깔게 시키면 Ax 사용을 피할 수 있다. 단순히 자동 설치가 되게끔하는 것이 Ax의 역할이니깐. 그런데 이렇게 만들자고하면 영업팀에서 난리난다. 사용자들이 그렇게 하지 않는다고! 모두 자동으로 해줘야한다고!). 그리고 이걸 기반으로 인터넷 뱅킹에서 계좌 조회는 기본이요, 출금, 계좌 신설, 계좌 닫기 등 거의 모든 은행 업무가 가능하게 되었다. 당연한 것으로 생각하면 안된다. 이건 정말 대한민국만이 할 수 있는 놀라운 일이다.

많은 사람들이 외국 인터넷 뱅킹은 Ax를 쓰지 않고 된다고 하는데 너무나 당연한 말이다. 그런데 한국 인터넷 뱅킹처럼 화려한 서비스가 제공되지 못한다. 기본적으로 계좌 이체는 적어도 내가 아는 미국 은행들은 인터넷에서 하지를 못한다(사실 미국이라는 동네가 ATM을 이용한 송금보다도 그냥 개인 수표을 적어주는 경우가 더 많은 것 같으니).

잠시 일본 얘기를 해보자. 일본 사람들은 인터넷에서 우리의 인터넷 뱅킹과 같이 복잡한 서비스를 하기를 꺼려한다고 한다(직접 일본 시장 진출을 위해 조사했던 분에게 들음). 그래서 굳이 Ax가 필요없어도 해결할 수 있는 문제가 대부분이다. 그러나 우리는 과도한 SI 업체들의 경쟁도 있겠지만 너무 많은 것을 웹에서 하기를 바랬다. 그래서 초창기 '어쩔 수 없이' Ax와 같은 기술을 쓸 수 밖에 없었다는 변명도 충분히 일리가 있다.

결론은 간단하다. Ax를 버리는 것은 오히려 쉬울 수 있다. 그런데 Ax를 버리면 지금까지 누려왔던 각종 풍부한 웹서비스가 상당수 불가능해질 수 있다. 기업들이 이런 타협점만 찾을 수 있으면 의외로 간단하다. 그런데 Ax 포기로 인해 각종 인터넷 뱅킹 서비스가 중단되면 또 소비자들의 항의는 상당할 것이다.

하나 대안을 들자면, 인터넷 뱅킹을 굳이 웹에서 다 해결하려 하지 말자. 그냥 별도의 응용 프로그램으로 만드는 것이 더 현명하리라 생각한다. 예를 들어 신한은행의 경우에는 별도의 인터넷 뱅킹 프로그램이 지급되고 맥에서도 사용이 가능하다. 웹 표준 논쟁에서도 벗어날 수 있고, 오히려 더 적은 개발비로 더 풍부한 서비스를 보다 높은 보안 기술을 적용할 수 있기 때문이다.


ps. 사실 저는 Ax 및 웹 기술에 대해 정말 아는 것이 거의 없습니다. 그래서 정확치 않은 내용이 본문 중에 있을 수 있습니다.