728x90
반응형
기술적으로 왜 굳이 비싼 돈과 시간을 들여 기업 확인(OV/EV)을 하는지, 3가지 핵심 이유로 설명해 드리겠습니다.
1. "안전한 통신" vs "안전한 대상" (Phishing 방지)
가장 결정적인 기술적 이유는 피싱(Phishing) 사이트와의 구분입니다.
- DV(일반/무료)의 맹점: 해커가 goggle-login-update.com 같은 그럴듯한 도메인을 사고, Let's Encrypt로 무료 SSL을 설치했다고 가정해 봅시다.
- 브라우저는 자물쇠 아이콘(HTTPS)을 띄워줍니다.
- 통신 패킷은 암호화되므로 해커 외에 제3자는 못 봅니다.
- 문제점: 사용자는 "자물쇠가 있으니 안전하다"고 착각하지만, 실제로는 "해커와 아주 안전하게 암호화된 통신"을 하고 있는 셈입니다.
- 기업 확인(OV/EV)의 역할: OV나 EV 인증서는 발급 시 사업자등록증, 실전화번호 확인 등을 거칩니다. 해커가 가짜 사이트를 위해 위조된 법인 서류를 제출하고 CA의 심사를 통과하는 것은 매우 어렵습니다. 즉, "이 서버의 주인은 실존하는 OOO 기업임"을 CA가 보증해 주는 것입니다.
2. 중간자 공격(MITM) 방어 및 인증서 신뢰도
네트워크 단에서 DNS 스푸핑이나 ARP 스푸핑을 당해 사용자가 가짜 서버로 유도되었을 때의 방어책입니다.
- 사용자가 기업 정보를 확인하려 할 때, DV 인증서는 Subject 필드에 도메인 이름만 달랑 있고 O (Organization) 필드가 비어 있거나 "Whois Privacy" 등으로 뜹니다.
- 반면 OV/EV 인증서는 인증서 상세 정보(Certificate Details)를 까보면 O=Samsung Electronics Co., Ltd. 처럼 조직명이 명시되어 있습니다.
- 보안 의식이 높은 클라이언트나 기업용 보안 솔루션은 특정 금융/결제 도메인에 접속할 때, 인증서 내의 조직명(O) 필드가 기대값과 일치하는지 검증하기도 합니다.
3. 법적 책임 및 컴플라이언스 (Accountability)
개발이나 유지보수 업무를 하다 보면 책임 소재가 중요해질 때가 있습니다.
- OV/EV 인증서는 해당 도메인을 운영하는 주체가 누구인지 명확히 박제되어 있습니다.
- 만약 웹사이트를 통해 악성코드가 유포되거나 사기 사건이 발생했을 때, 수사 기관이나 보안 업체는 인증서 발급 기록을 통해 해당 서버의 운영 주체(법인)를 즉시 특정할 수 있습니다.
- 이러한 이유로 금융기관, 공공기관, 대형 쇼핑몰 등은 내부 보안 규정(ISMS-P 등)이나 법적 요구사항에 따라 반드시 신원 확인이 포함된 인증서를 사용해야 하는 경우가 많습니다.
SSL 인증서 선정 방법
1. 상위 기관/고객사의 요구사항 (Compliance) - "시켜서 하는가?"
가장 강력한 기준입니다. 기술적 필요성과 상관없이 따라야 하는 가이드라인입니다.
- 공공기관/지자체 연계 사이트인가?
- 보통 '행정전자서명 인증서(GPKI)'를 쓰거나, 민간 인증서를 쓸 경우 최소 OV(조직 인증) 등급 이상을 요구하는 경우가 많습니다.
- 보안 심사(ISMS 등) 대상인가?
- 암호화 통신 적용 여부뿐만 아니라, "신뢰할 수 있는 인증기관 여부"를 보기도 합니다.
2. 시스템 기능 및 데이터 민감도 (Risk Assessment) - "털리면 위험한가?"
상위 기관의 지침이 없다면, 개발자가 시스템의 성격을 보고 판단해서 제안해야 합니다.
- 회원가입/로그인/결제가 있는가? (개인정보 취급)
- 권장: OV (Organization Validation)
- 이유: 개인정보 유출 사고 시, "비용 아끼려고 신원 확인도 안 되는 무료 인증서 썼냐"는 책임 추궁을 피하기 위한 최소한의 방어 기제(Due Diligence)입니다.
- 단순 홍보/안내 페이지인가? (Form 태그 없음)
- 권장: DV (Domain Validation) 또는 무료(Let's Encrypt)
- 이유: 보여주기만 하는 페이지는 암호화(HTTPS)로 브라우저 경고창만 없애주면 충분합니다.
요약 : 누구나 자물쇠(HTTPS)는 달 수 있지만, 명찰(기업명)은 아무나 찰 수 없다.
728x90
반응형