보안

"HTTPS가 다시 공격을 받고 있다" : EEF

Keir Thomas | PCWorld 2011.04.12
최상위 도메인 확대되면 위험성 증가
더 위험한 것은, 언제가 “.nyc”와 같은 TLD가 실제로 존재할지도 모른다는 사실이다. 최근 .xxx의 승인이 논란이 되었듯이, TLD의 다양화에 대한 요구는 증가하고 있고, 얼마 지나지 않아 모든 필요에 따른 새로운 TLD의 폭증을 보게 될지도 모른다.
 
실제로 어느 날 “.nyc”라는 TLD가 생성되어 누군가 “mail.nyc”를 등록했다고 가정해보자. 이제 문제는 심각해진다. 왜냐하면 제대로 확인해보지 않은 CA에 의해 “mail.nyc”에 대한 인증서를 발급받은 사람이라면 누구나 이 사이트 방문자들을 하이재킹할 수 있는 한편, 겉으로는 100% 믿을만한 연결을 제공하는 것처럼 보이기 때문이다.
 
부주의한 인증 기관의 이점을 이용해 지금은 해커들도 미래에 생겨날만한 도메인과 TLD를 더한 어떤 조합이라도 그에 대한 인증서를 구매할 수 있다. 예를 들면, 애플이 자기만의 TLD를 갖게 될 때를 예상해서 “web.apple”에 대한 인증서를 받아놓는 것은 어떨까? 그러고 나면 해커들은 브라우저에 http://web.apple을 입력하는 어떤 사용자라도 하이재킹할 수 있고, 이는 겉으로는 합법적인 것으로밖에 보이지 않을 것이다.
 
인증기관들이 그들의 일을 제대로 하도록 제의하는 것 이외에도, EFF는 브라우저나 다른 인터넷 소프트웨어들이 오직 진짜, 즉 자격요건을 모두 갖춘 도메인 이름에 대해서만 SSL 인증서를 받아들일 것을 제안한다. 브라우저가 잘못된 입력을 제대로 확인하지 않는다 하더라도, “http://mail” 같은 것들로 연결할 수 있어서는 안된다는 것이다.
 
근본적인 해결책 부재...사용자 주의 요망
SSL 인증서 시스템은 최근 중대한 공격을 받고 있다. 가장 큰 인증기관 중 하나를 향한 맹공격은 전체 시스템에 대해 의문을 던졌고, 21세기 수요들을 위한 시스템 업그레이드가 절박하게 필요함을 깨닫게 해주었다. 지금 현재, 전 세계의 주요 웹 브라우저들가 신뢰하는 인증기관이 600개를 넘어섰다.
 
각 CA는 지역 법규에 그들만의 특색을 더하여 다양한 기반 아래 인증서를 발급한다. 그리고 어느 분야나 마찬가지로 인증서 발급에 대한 기준이나 해커들이 시스템에 침투해 잘못된 증명서를 발급하지 못하게 막는 내부의 보안 절차 등에 있어서 CA마다 차이가 있다.
 
이 모든 사실을 종합해 볼 때, 더 이상 HTTPS 연결을 완전히 신뢰할 수는 없다는 결론에 도달할 수 있다. 하지만, DNSSEC과 같은 계획들이 온라인으로 나오기 전까지는, HTTPS 외에는 다른 선택 사항이 없는 것도 현실이다.
 
결국 사용자가 상식적인 판단 아래 주의를 게을리하지 않는 것이 현재로서는 최선의 안전책이 될 것으로 보인다. 예를 들면 은행의 홈페이지를 방문한 경우, 웹 사이트에 갑자기 어색한 문장이 등장한다면, 무언가 잘못 되고 있을 가능성이 높다.  editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.