방어 장치 비교
| 장치 | 막아 주는 것 | 한계 |
|---|---|---|
| TLS 암호화 | 경로상의 도청과 변조 | 접속 상대가 가짜 서버면 가짜와 암호화 통신을 하게 됨 |
| 인증서 검증 | 상대 서버의 도메인 신원 확인 | 인증서를 발급하는 기관이 뚫리면 신뢰가 흔들림 |
| HSTS(RFC 6797) | HTTP로 낮추는 공격 | 첫 방문에는 적용되지 않음(첫 사용 시 신뢰) |
| VPN | 신뢰할 수 없는 로컬 네트워크 구간 | VPN 업체 구간 이후는 별도 문제 |
| 2단계 인증 | 비밀번호만 노출됐을 때의 피해 | 실시간으로 중계되는 경우까지 모두 막지는 못함 |
실제 사례 1: DigiNotar 인증서 사건(2011)
네덜란드의 인증기관 DigiNotar는 2011년 침입 사고를 겪었고, 위키백과(공개 보고서 기반) 기준으로 구글 도메인용 와일드카드 인증서가 2011년 7월 10일 발급되었으며 이란에서 이를 이용한 중간자 공격이 있었던 것으로 정리됩니다. 이후 DigiNotar는 야후, 모질라, 워드프레스, 토르 프로젝트 등을 포함한 부정 발급 인증서가 있었음을 인정했고, 확인된 총수는 최소 531개로 서술됩니다. 네덜란드 정부가 의뢰한 Fox-IT 조사는 약 30만 명의 이란 지메일 사용자가 주된 표적이었다고 보고했습니다. 이 보고서는 2012년 10월 공개되었습니다. 2011년 8월 말 무렵 모질라와 마이크로소프트 등이 DigiNotar 루트를 신뢰 목록에서 제거했고, 9월 20일 파산 선고가 발표되었습니다. 크롬은 인증서 고정(pinning) 기능으로 가짜 구글 인증서를 탐지했지만 그 보호는 구글 도메인에 한정되었다고 합니다. 배울 점은 HTTPS의 자물쇠가 "인증서를 발급한 기관을 믿는다"는 전제 위에 서 있다는 것, 그리고 신뢰 목록에서 해당 기관을 빼는 조치가 최종 대응이 되었다는 점입니다.
실제 사례 2: SSL 스트리핑의 공개와 HSTS의 등장
위키백과 HSTS 문서에 따르면 SSL 스트리핑은 2009년 블랙햇 강연에서 Moxie Marlinspike가 공개적으로 소개했습니다. 그 대응책으로 널리 쓰이게 된 HSTS는 RFC 6797(2012년)로 표준화되었습니다. 서버는 HTTPS 응답에 Strict-Transport-Security 헤더를 실어 보내고, max-age에 적힌 초 동안 브라우저는 그 사이트를 HTTPS로만 접속합니다. 예시로 든 31536000초는 365일입니다. 브라우저에 내장된 HSTS preload 목록은 첫 방문의 빈틈을 줄여 주지만, 목록에 없는 사이트의 첫 방문은 여전히 이 보호 밖에 있습니다. 배울 점은 방어 장치마다 "어디까지 막고 어디부터는 못 막는지"가 정해져 있다는 것입니다.
일상에서 확인할 것
- 인증서 경고가 뜨면 "계속"을 누르지 말고 연결을 중단하고 다른 네트워크에서 다시 시도합니다.
- 로그인·결제 때 주소창의 도메인 철자와 HTTPS 여부를 함께 봅니다.
- 공용 와이파이에서 중요한 작업을 피하거나 신뢰하는 VPN을 씁니다. VPN 기초 가이드 참고.
- 집 공유기는 WPA2 이상, 가능하면 WPA3를 쓰고 관리자 비밀번호를 바꿉니다. 와이파이 암호화 표준 가이드 참고.
- 중요한 계정에는 2단계 인증을 켭니다.
흔한 오해와 정정
- 오해: 자물쇠가 있으면 접속한 사이트가 진짜다. 실제: 자물쇠는 암호화 연결과 인증서 검증이 통과했다는 뜻이지, 사이트 운영자가 선하다는 보증은 아닙니다.
- 오해: MITM은 공용 와이파이에서만 생긴다. 실제: DigiNotar 사례처럼 인증 체계의 약점이나 DNS 같은 다른 구간에서도 생길 수 있습니다.
- 오해: VPN이면 모든 것이 안전하다. 실제: VPN은 로컬 구간을 보호하지만 VPN 사업자 신뢰와 목적지 서버 문제는 남습니다.
한계와 더 알아볼 점
사건 수치(부정 발급 인증서 수, 표적 규모)는 시점과 출처에 따라 서술이 조금씩 달라질 수 있어, 이 글은 위키백과에 정리된 범위로 한정했습니다. 최신 브라우저 정책(예: 인증서 투명성)은 각 브라우저 공식 문서에서 확인하세요. 인증서의 구조는 SSL/TLS 인증서 가이드에서 이어 볼 수 있습니다.
공용 와이파이가 특히 위험한 이유
카페나 공항 같은 공용 와이파이에서 주의해야 할 점을 더 자세히 알고 싶다면 공용 와이파이 안전하게 이용하는 방법도 확인해보세요.
ARP 스푸핑의 원리가 궁금하다면
내부 네트워크에서 벌어지는 ARP 스푸핑의 동작 원리를 더 자세히 알고 싶다면 ARP(주소 결정 프로토콜)란?도 참고해보세요.
자주 묻는 질문
HTTPS로 접속하면 무조건 안전한가요?
HTTPS는 브라우저와 실제로 접속한 서버 사이의 통신 구간을 암호화해줍니다. 다만 사용자가 피싱 등으로 공격자가 준비한 가짜 사이트에 접속하게 된 경우라면, 그 가짜 사이트 자체가 정상적인 인증서를 갖추고 있을 수도 있으므로 HTTPS 여부와 별개로 주소창의 도메인 이름을 꼼꼼히 확인하는 습관도 함께 필요합니다.
공용 와이파이에서 중간자 공격 위험이 왜 더 큰가요?
불특정 다수가 같은 개방형 네트워크를 공유하기 때문에, 같은 네트워크 안의 누군가가 트래픽을 가로채거나 가짜 접속점을 만들어 끼어들기가 상대적으로 더 쉬운 환경이기 때문입니다.
브라우저의 인증서 경고는 왜 무시하면 안 되나요?
경고는 접속한 서버의 신원 확인이 실패했다는 신호입니다. 만료 같은 단순 문제일 수도 있지만 중간에 누군가 끼어든 경우와 화면만으로 구별하기 어렵기 때문에 중요한 정보는 입력하지 않는 편이 안전합니다.
HSTS를 쓰는 사이트는 첫 방문도 안전한가요?
아닙니다. 위키백과 문서가 지적하듯 보호는 보통 첫 방문 이후부터 적용됩니다(첫 사용 시 신뢰). 브라우저 내장 preload 목록에 등록된 사이트는 이 빈틈이 줄어듭니다.
이 글에 공격 방법은 나오지 않나요?
이 글은 개념과 방어만 다룹니다. 실행 절차나 도구 사용법은 악용 우려가 있어 적지 않았습니다.