자물쇠 아이콘: 실제 의미

브라우저 주소 표시줄의 자물쇠 아이콘은 브라우저와 웹 서버 사이의 연결이 TLS를 사용해 암호화되었음을 확인해 줍니다. 따라서 도청자가 전송 중인 데이터를 읽을 수 없습니다.

또한 서버가 브라우저에서 검증할 수 있는 인증서를 제시했다는 사실도 확인해 줍니다. 인증서는 신뢰할 수 있는 인증 기관(CA)의 서명을 받았고 도메인 이름이 일치합니다.

자물쇠는 웹사이트 자체의 신뢰성이나 정당성에 대해 아무것도 보장하지 않습니다. 범죄자는 정상적인 사업자만큼이나 쉽게 자신의 피싱 사이트에 사용할 유효한 TLS 인증서를 발급받을 수 있습니다.

자물쇠가 의미하는 것은 "이 서버와의 연결은 암호화되어 있습니다"이지, "이 웹사이트는 안전합니다", "이 회사는 합법적입니다" 또는 "이 페이지의 콘텐츠를 신뢰해야 합니다"가 아닙니다.

피싱 사이트는 일상적으로 에이치티티피에스를 사용합니다. 렛츠 인크립트는 도메인을 제어하는 누구에게나 무료 인증서를 자동으로 발급하므로, "paypa1.com"이나 "arnazon.com"처럼 실제 사이트와 비슷한 도메인을 등록한 범죄자도 인증서를 받을 수 있습니다.

구글의 투명성 보고서에 따르면 현재 피싱 페이지의 90% 이상이 에이치티티피에스를 사용합니다. 자물쇠가 표시된다는 사실은 안전성을 신뢰할 만하게 나타내는 지표가 아니므로 도메인 이름 자체를 확인해야 합니다.

가장 흔한 유형인 도메인 검증(DV) 인증서는 신청자가 도메인을 제어하는지만 확인합니다. CA는 DNS 기록, 웹 서버에 배치한 파일 또는 도메인의 관리 담당자에게 보낸 이메일을 통해 이를 확인합니다.

도메인 검증(DV) 인증서는 ACME 프로토콜을 통해 몇 분 만에 발급할 수 있습니다. 렛츠 인크립트가 이 방식을 사용합니다. 이 인증서는 도메인 제어권은 확인하지만 해당 도메인을 운영하는 조직에 관한 정보는 제공하지 않습니다.

조직 검증(OV) 인증서는 CA가 조직의 법적 존재를 확인하도록 요구합니다. CA는 사업자 등록 기록을 확인하고 조직의 주소를 확인하며 인증서를 요청한 사람이 조직을 대표할 권한이 있는지 검증합니다.

조직 검증(OV) 인증서는 인증서 정보에 조직 이름을 포함합니다. 발급까지 며칠이 걸리고 도메인 검증(DV) 인증서보다 비용이 많이 들지만, 조직의 신원에 대해 더 강한 보장을 제공합니다.

확장 검증(EV) 인증서는 법적 존재, 실제 운영 여부, 물리적 주소 및 권한을 가진 담당자와의 직접 확인을 포함해 가장 엄격한 검증을 요구합니다. 절차에는 1주에서 몇 주가 걸립니다.

확장 검증(EV) 인증서는 과거에 브라우저 주소 표시줄에 조직 이름을 녹색으로 표시했습니다. 그러나 크롬은 사용자가 이 표시를 이해하지 못하거나 알아차리지 못한다는 사용성 연구 결과를 근거로 2019년에 확장 검증 표시를 제거했습니다.

인증서 투명성(CT)은 발급된 모든 인증서를 공개되고 감사 가능한 기록에 남겨야 하는 체계입니다. 브라우저는 인증서를 신뢰하기 전에 해당 인증서가 CT 기록에 나타나는지 확인합니다.

CT 기록을 사용하면 도메인 소유자가 자신의 도메인에 대해 무단으로 발급된 인증서를 감시할 수 있습니다. CA가 인증서를 잘못 발급하면 몇 시간 안에 기록에 나타나므로 신속하게 탐지하고 폐기할 수 있습니다.

최신 브라우저에서는 자물쇠를 클릭하여 연결 세부 정보를 확인할 수 있습니다. 크롬은 "연결이 안전합니다", 인증서 유효 기간 및 발급 CA를 표시합니다. "인증서가 유효합니다"를 클릭하면 전체 인증서 체인이 표시됩니다.

인증서 세부 정보에는 일반 이름과 주체 대체 이름(적용되는 도메인), 발급 CA, 유효 기간(유효 시작일/유효 종료일) 및 서명 알고리즘이 포함됩니다.

2017년부터 크롬은 주소 표시줄에서 모든 에이치티티피 페이지를 "안전하지 않음"으로 표시합니다. 파이어폭스와 엣지도 이 방식을 따랐습니다. 에이치티티피는 모든 데이터를 평문으로 전송하여 네트워크상의 누구나 볼 수 있기 때문에 이 경고가 표시됩니다.

사용자가 에이치티티피 페이지의 양식에 입력을 시작하면 "안전하지 않음"이라는 표시가 특히 두드러집니다. 이는 자격 증명이나 개인 정보가 암호화되지 않은 상태로 전송된다는 사실을 경고합니다.

에이치티티피에스는 이제 모든 웹사이트에 기대되는 기본 요건이지 고급 보안 기능이 아닙니다. 에이치티티피에스가 사용된다는 것은 채널이 암호화되었음을 의미하며, 이는 전체 사이트 보안에 필요하지만 충분하지는 않습니다.

콘텐츠 보안, 인증 보안, 권한 부여 제어, 주입 취약점 방지 및 수십 가지 다른 보안 속성은 연결이 에이티티피에스를 사용하는지와 전혀 별개입니다.

자물쇠 아이콘을 확인하는 것만으로는 충분하지 않습니다. 사이트가 정식 사이트인지 확인하려면 정확한 도메인 이름에 유사 도메인 사칭이 없는지 살펴보고, 가능하다면 OV 또는 EV 인증서 세부 정보를 확인하며, 이메일의 링크를 클릭하는 대신 검색 엔진 결과를 통해 사이트를 확인하고, WHOIS 조회로 도메인 등록 시기와 소유 정보를 확인해야 합니다.

보안에 민감한 사용자는 웹 주소를 매번 직접 입력하는 대신 은행 같은 중요한 사이트를 북마크합니다. 이렇게 하면 유효한 HTTPS 인증서를 갖고 있을 수 있는 유사 도메인에 오타로 접속할 위험을 줄일 수 있습니다.

브라우저의 자물쇠 아이콘이 무엇을 의미하는지 이해했는지 확인해 보세요.

자물쇠 아이콘은 암호화된 TLS 연결과 신뢰할 수 있는 CA의 인증서 검증을 확인해 줍니다. 하지만 웹사이트나 조직을 신뢰할 수 있는지는 확인해 주지 않습니다.

피싱 사이트도 HTTPS를 사용할 수 있으며 실제로 사용합니다. DV 인증서는 도메인 제어권만 확인하면 되므로 몇 분 안에 발급됩니다. 인증서 투명성 로그를 사용하면 무단으로 발급된 인증서를 모니터링할 수 있습니다. HTTPS는 전반적인 보안에 필수적이지만 그것만으로 충분하지는 않습니다.