파이어폭스 3의 달라진 SSL 정책, 웹을 망친다?
- Posted at 2008/08/05 23:56
- Filed under 소식
SSL에는 두 가지 기능이 있습니다. '암호화'와 '신뢰성'이 그것입니다. 먼저, '암호화'는 이해하기 쉽습니다. 말 그대로 웹 브라우저와 웹 서버 사이의 통신을 암호화해서 다른 사람이 도청하지 못하게 합니다.
'신뢰성'은 이런 것입니다. 여러분이 어떤 웹 사이트를 방문할 때, 그 사이트가 정말로 내가 아는 사람에 의해 만들어졌는지 판단하는 것은 상당히 어렵습니다. 그래서 SSL 통신에서는 '인증서'라는 것으로 사이트 제작자가 내가 아는 그 사람이 맞다는 것을 보장해줍니다. 공인인증서와 비슷하다고 생각하시면 됩니다.
SSL 인증서는 공짜가 아닙니다. '신뢰할 수 있는' 몇몇 회사가 인증서를 판매하는데, 대표적인 회사가 베리사인(VeriSign)입니다. 가격은 종류에 따라 다르지만 몇십만 원 정도 합니다. 또한 유효 기간이 있어서 해마다 연장해야 합니다.
그렇다면 웹 서버에서 SSL을 사용하려면 무조건 인증서를 구매해야 하느냐? 그건 아닙니다. 스스로 인증서를 발급할 수도 있습니다. 그러나 그것은 '신뢰할 수 있는' 회사가 발급한 것이 아니기 때문에, 웹 브라우저로서는 '의심스러울' 수밖에 없습니다. 해커가 자기 자신을 마이크로소프트라고 속이는 인증서를 만들 수도 있으니까요.
그래서 대부분의 브라우저는 신뢰할 수 없는 인증서를 사용하고 있는 SSL 웹 서버에 접속할 때 경고를 표시합니다.
인터넷 익스플로러 6에서는 이렇게 보입니다.
그런데, 파이어폭스 3로 넘어오면서 변화가 생겼습니다. 파이어폭스 3에서는 이렇게 보입니다.
상황은 같은데, 훨씬 더 '심각해 보이도록' 변했지요.
최근 Nat Tuck이 작성한 '모질라 SSL 정책은 웹에 안 좋다'라는 글에 따르면, 이러한 경고 화면은 웹에 악영향을 끼칠 수 있습니다.
인증서를 구매하지 않고 SSL를 사용하는 웹 서버는 상당히 많습니다. 비싸기 때문이지요. 또한, 인증서를 사용하지 않아도 '암호화' 기능은 얻을 수 있습니다. 그런데 파이어폭스 3의 새로운 경고 화면은 SSL을 사용한 사이트가 일반 사이트보다도 위험한 것처럼 보이게 합니다.
물론 파이어폭스 3의 취지는 이해할 수 있습니다. 가짜 인증서로 '낚시'를 하는 경우에 대비한 것이겠지요.
그러나 Nat Tuck에 따르면 이와 같은 정책은 결과적으로 다음과 같은 두 가지 영향을 끼칠 수 있습니다.
1. 몇몇 사이트가 SSL 인증서 구매 압력을 받게 될 것입니다. 과거에는 SSL 인증서가 없어도 괜찮았는데 말입니다. 결국, '신뢰'를 돈을 주고 사야 하냐는 비판이 나올 수 있습니다.
2. 몇몇 사이트는 위와 같은 화면이 나오는 것을 방지하기 위해 아예 SSL을 포기할 것입니다. 이렇게 하면 SSL이 가지고 있는 암호화 기능까지 사용할 수 없게 되어 결과적으로 사용자는 더욱 큰 위험에 노출될 것입니다.
제 생각에도 '허용'하기 위해 클릭이 4번이나 필요한 오류 화면은 지나쳐 보입니다. 사용자의 선택권을 좀 더 존중하는 방법이 어떨까요. 보안성을 유지하면서도, 좀 더 편리하게 허용할 수 있도록 인터페이스를 개선하는 것이 좋을 것 같습니다.
그게 어렵지만요. :-)
ps: 이 페이지에서 직접 경고 화면을 보실 수 있습니다.
Posted by 랜덤여신
- Tag
- browser, certification, encryption, Firefox, SSL, trustworthy, Web, 브라우저, 신뢰성, 암호화, 웹, 인증서, 파이어폭스
- Response
- No Trackback , 17 Comments
Trackback URL : http://barosl.com/blog/trackback/790
Comments List
-
rkttu
2008/08/06 00:41
#
M/D
Reply
Permalink
사실 보안과 편리성 사이의 저울질은 참 신중해야 하는데 최근 소프트웨어 벤더들이 보안에 관해서 지나치게 강경한 입장을 취하고 있는것 같습니다. 윈도 비스타의 UAC 못지 않게 사용자를 괴롭힐만한 인터페이스가 또 하나 등장한것 같아서 안타깝네요.
-
무료로 인증해주는 곳은 없나요?
-
Firefox용으로는 http://www.startssl.com 이 있습니다만, IE에서도 지원되는 무료SSL 인증기관은 아직 없는 것으로 알고 있습니다.
-
인증서 발급업체는 인증서를 발급할 때 해당하는 본인/회사가 발급한 인증서가 맞다는 신원 확인 작업을 합니다. 이런 확인이 있기 때문에 신뢰를 할 수 있는 것이구요. 그래서 절대로 발급 비용이 0이 될 수가 없는 일이죠. 그렇다고 확인을 하지 않는다면 낚시 인증서들이 발급되는 걸 막을 수 없을 겁니다.
신원 확인 비용을 누가 대신 대 주지 않는 한 브라우저에서 신원 확인이 되지 않은 무료 인증서를 신뢰할 수 있다고 취급할 수는 없는 일입니다.
-
-
맞아요. 좀 너무하다는 생각이 들어요.
처음엔 내가 잘못된 사이트에 들어왔구나 하는 생각이 들어서 그냥 나가버리기도 했었죠.
다시는 거기 안 가게 되었구요. 좀 문제가 있긴 하네요. :) -
bookworm
2008/08/06 11:01
#
M/D
Reply
Permalink
저도 다소 놀라기는 했지만 보안 강화라는 측면에서 반대까지는 하지 않고 싶습니다.
-
저도 항상 사용하던 사이트가 위처럼 뜨길래 왜 이러나 했죠..
말씀하셨다시피 접속을 하려면 <예외 추가...>에서 클릭을 여러번 해야하더군요.
많이 불편해졌어요. -
드래곤군
2008/08/06 12:21
#
M/D
Reply
Permalink
확실히 문제가 있네요.
사이트를 운영하는 쪽에선 보안 강화를 위해 SSL 접속을 구현했더니
피싱 사이트로 오해받기 십상이겠군요. -
문제는 자기가 인증한 SSL의 경우 MITM 공격에 속수무책으로 당할 수 밖에 없어 사실상 plain-text 보다 보안성이 강화되는 측면이 없습니다. 네트웍상에서 plain-text 를 가로챌 수 있는 사람은 마찬가지로 SSL의 MITM 공격이 가능하고요. 그런 측면에서 봤을 때는 큰 문제라고 생각되진 않습니다.
-
물론, SSL MITM 공격은 효과적입니다.
그러나, 아무리 구매하지 않은 인증서를 쓰는 https가 일반 http보다 더 나은 보안성을 제공하지 않더라도, 일반 http보다 '더 위험하게' 보이는 것은 이상한 상황이 아닐까요? 피싱 방법은 둘 다 똑같이 적용될 테니까요.
사용자가 SSL에 대해 가지고 있는 환상을 깨기 위해서라고 해도, '마찬가지로 위험하다'라는 말만 해주면 충분하다고 생각합니다.
-
-
http://amakusa.pip.verisignlabs.com/
2008/08/06 14:35
#
M/D
Reply
Permalink
잘 모르는 사람들이 보면 오히려 더 불안감을 느낄수도 있겠네요.... :-)
-
편의성에 관해서는 문제가 있긴해도 보안을 강화한 측면에서 봤을때는 적절했던것 같습니다. 요즘 웹은 그냥 멋모르고 돌아다니기엔 너무 무서운 것들이 많아서요^^
-
취지는 이해가 가지만, 정말 예외사이트로 지정하고 접속하게 된다면 당장에라도 바이러스가 심어질 것 같은 느낌이 드네요... 저 아이콘 색깔만 빨간색으로 바꾸면 영락없는 해킹사이트 경고메세지가 되겠는데요?
-
편의성과 보안성 사이에서의 고민이군요.
가장 좋은 방법은 신뢰할만한 누군가가 무료 또는 초저가로 인증서를 발급해 주는 것입니다만... 누가할까요? -
제 인증서가 국내 제품이라서 IE에서는 신뢰 인증서이지만, FF은 신뢰 인증서가 아닙니다. 결국 FF3 출시와 함께 FF에서의 SSL 지원을 끊어버렸습니다. IE만 SSL 통신하고, FF 접속하면 SSL 통신을 안하도록 말이죠.
-
자주 쓰던 ssl 인증서가 값이 올라서 구글링 하던 중 이 글을 읽었습니다.
불여우3 에서 이렇게도 심각한듯 하게 메세지가 나오게 된 가장 큰 이유는
IE7 일듯 합니다.
하지만 IE7 보다 좋은 점은 예외추가 메뉴에서 '영구 저장' 이 있다는거죠.
다시는 안물어보게 할 수 있습니다. 물론 사이트가 믿음이 갈 때 영구저장을 해야 겠지요. -
흐음;;;
하지만. ssl 인증서 값이 올르긴하지만-_-
중요한거는 우리나라에서 대부분 사람들은 IE프로그램을 이용하므로
그닥 상관이없지만;; 외국같은경우는;; 저걸 어떻게 감당하죠?;;
