📜
SSL/TLS 인증서란
웹사이트가 실제로 해당 도메인의 소유자가 운영하는지 확인해주고, 브라우저와 서버 사이의 통신을 암호화하는 데 쓰이는 디지털 신분증입니다.
SSL/TLS 인증서는 신뢰할 수 있는 제3의 기관이 "이 공개키는 이 도메인의 것이 맞다"고 서명해준 전자 문서입니다. 브라우저는 이 인증서를 이용해 접속한 사이트의 신원을 확인하고, 인증서에 담긴 공개키로 이후 통신 내용을 암호화해 주고받습니다.
🗂️
인증서의 기본 구조(X.509)
대부분의 SSL/TLS 인증서는 X.509라는 표준 형식을 따르며, 주체·발급자·공개키·유효기간·서명 정보를 담고 있습니다.
X.509 형식의 인증서에는 인증 대상 도메인(주체, Subject), 인증서를 발급한 기관(발급자, Issuer), 암호화에 쓰이는 공개키, 인증서가 유효한 시작일과 만료일, 그리고 발급 기관이 이 내용이 맞다고 서명한 전자서명 값이 담겨 있습니다. 브라우저의 인증서 상세보기 화면에서 이 항목들을 직접 확인할 수 있습니다.
⛓️
인증기관(CA)과 신뢰 체인
루트 인증기관부터 중간 인증기관을 거쳐 실제 웹사이트 인증서로 이어지는 신뢰 체인을 통해 인증서의 진위를 검증합니다.
브라우저와 운영체제는 소수의 신뢰할 수 있는 루트 인증기관(Root CA) 목록을 미리 갖고 있습니다. 실제 웹사이트에 발급되는 인증서는 대개 루트 CA가 직접 서명하지 않고, 루트 CA로부터 위임받은 중간 인증기관(Intermediate CA)이 서명하는 경우가 많으며, 브라우저는 이 서명 관계를 루트까지 하나씩 거슬러 올라가며 확인해 신뢰 여부를 판단합니다.
🏷️
DV·OV·EV 검증 등급 차이
도메인 소유만 확인하는 DV, 사업자 정보까지 확인하는 OV, 가장 엄격한 심사를 거치는 EV로 나뉘며 등급이 높을수록 검증 절차가 까다롭습니다.
DV(Domain Validation)는 신청자가 해당 도메인을 실제로 관리하는지만 확인하는 가장 간단한 등급이고, OV(Organization Validation)는 여기에 더해 신청 기관의 실체를 서류로 확인합니다. EV(Extended Validation)는 가장 엄격한 법적·행정적 심사를 거치지만, 최근 주요 브라우저들은 EV 인증서라고 해서 주소창에 별도의 강조 표시를 해주지 않는 경우가 많아, 등급 차이가 눈에 잘 띄지 않는 편입니다.
🔎
브라우저가 인증서를 검증하는 과정
만료 여부, 신뢰 체인, 도메인 이름 일치, 폐지 여부를 자동으로 확인한 뒤 문제가 없을 때만 안전한 연결로 표시합니다.
브라우저는 접속 시마다 인증서의 유효기간이 지나지 않았는지, 신뢰할 수 있는 CA가 서명한 것이 맞는지, 인증서에 적힌 도메인과 실제 접속한 주소가 일치하는지, 혹시 발급 기관이 조기에 폐지(revoke)한 인증서는 아닌지를 자동으로 검사합니다. 이 중 하나라도 문제가 있으면 "연결이 안전하지 않습니다" 같은 경고 화면을 띄웁니다.
🧭
내 브라우저에서 인증서 확인하는 방법
주소창의 자물쇠 아이콘을 클릭하면 인증서 발급 대상, 발급 기관, 유효기간 등의 정보를 바로 확인할 수 있습니다.
대부분의 브라우저는 주소창 왼쪽의 자물쇠 아이콘을 클릭한 뒤 "연결이 안전함" 또는 "인증서" 메뉴로 들어가면 해당 사이트 인증서의 발급 대상, 발급 기관, 유효기간 등 상세 정보를 보여줍니다. 개발자 도구의 보안(Security) 탭에서도 더 자세한 인증서 체인 정보를 확인할 수 있습니다.
⚠️
자물쇠 아이콘에 대한 흔한 오해
자물쇠 표시는 통신 구간이 암호화되어 있다는 뜻일 뿐, 그 사이트의 내용이나 운영자가 안전하다는 것을 보장하지는 않습니다.
SSL/TLS 인증서는 오늘날 무료로도 손쉽게 발급받을 수 있어, 피싱 사이트조차 자물쇠 아이콘을 띄우는 경우가 흔합니다. 자물쇠는 "브라우저와 서버 사이의 통신 내용을 다른 사람이 훔쳐볼 수 없다"는 것만 보장할 뿐, 그 사이트가 신뢰할 만한 곳인지는 도메인 주소, 운영 주체 등을 별도로 확인해야 합니다.