개요

---

이전 장을 읽었다면 인증서에 대한 언급이 있음을 확인할 수 있다.

SSL이 적용되면 서버와 클라이언트가 어떤 식으로 통신하고 암/복호화하여 데이터를 다루는지 설명했지만, 이는 SSL의 원리일 뿐이다.

그렇다면, 해당 도메인에 SSL이 적용되어 https를 사용할 수 있는 이유는 무엇일까?

SSL 인증서

---

이는 바로 인증서의 존재 덕분이다. 해당 사이트에 SSL이 적용되었는지 여부는 HandShake의 과정 중 ServerHello에서 받은 인증서 정보를 통해 확인할 수 있다.

SSL 인증서엔 도메인명, 회사 정보, 서버 공개키가 포함되어있으며, 이 정보를 통해 도메인의 사이트의 유효성 확인, 암호화 통신이 가능하다.

SSL 인증서 종류

---

SSL 인증서는 인증서 심사의 수준에 따라 DV, OV, EV 세 가지로 구분할 수 있다.

DV(Domain Validation)

---

DV는 오로지 도메인의 소유만을 검증하여 발급하는 인증서다.

• CN(Common Name): 도메인명 (*일 경우 와일드 카드)

인증서 정보의 주체를 보면 도메인 정보인 CN외에 다른 정보는 확인할 수 없다.

DV의 인증서 정책은 2.23.140.1.2.1이다. 이를 통해 해당 인증서가 DV임을 유추할 수도 있다.

도메인 외의 소유자 등에 대한 다른 요인은 전혀 심사에 반영되지 않으므로, 발급 절차가 간단하고 금방 발급된다. 또한 금액 역시 대체적으로 저렴한 편. 하지만 신뢰성은 다른 인증서에 비해 떨어진다.

이 도메인이 실제함은 보증하지만, 그 이상의 요인은 보증하지 않기 때문이다. 혹여 누군가가 불법적인 일을 위해 페이퍼 컴퍼니를 만들고, 사이트를 그럴듯하게 꾸며놓아도 DV 인증서는 SSL을 발급해준다. 심사 기준이 오로지 도메인이기 때문에 발생하는 문제.

물론 이는 어디까지나 단순한 "믿음"의 영역으로, DV 인증서의 암호화 알고리즘이 다른 인증서에 비해 취약한 것도 아니기 때문에 보안 자체엔 전혀 문제가 없다.

신뢰에 기반하는 쇼핑몰, 금융업 등의 서비스에선 가급적 지양해야할 인증서.

반대로 신뢰성을 그렇게 크게 요구하지 않는 개인 프로젝트, 소규모 사이트 등엔 시간적으로나 경제적으로나 DV가 적합하다. DV 인증서를 직접 보고 싶다면, 소규모 개인 사이트나 블로그에 들어가면 된다. 블로그의 경우 GitHub나 NAVER 같은 플랫폼 연계가 아닌, 실제 본인이 서버를 임대해서 플랫폼 없이 직접 배포하는 그런 블로그에 들어가야 한다.

E-Mail

---

도메인 소유주의 이메일에 인증 메일을 발송하여 자신이 해당 도메인의 소유주임을 인증하는 방식이다.

이 이메일은 아무거나 지정할 수 없고, 도메인을 발급받은 DNS 사이트에 등록된 이메일만 가능하다.

타 인증방식과 다르게 HTTP 80포트를 사용하지 못 해도 인증이 가능한 방식이다. 만약 어떠한 이유로든 외부에서 자신의 사이트에 80포트로 접속할 수 없는 경우, 이 방법 외에 다른 인증은 불가능하다.

DNS 레코드

---

DNS 설정을 추가하여 자신이 해당 도메인의 소유주임을 인증하는 방식이다.

DNS 설정의 A 레코드에 CA에서 임의로 생성한 URL을 추가한다. 해당 URL로 접근했을 때, HTTP 응답 코드가 200일 경우 인증된다.

DNS 설정은 도메인 소유주만 관리할 수 있으므로, CNAME이 추가되면 도메인 소유주라 간주할 수 있다.

반드시 80포트로 웹 페이지에 접속할 수 있어야한다. 만약 본인의 네트워크 환경 특수성으로 인해 80포트가 외부로 개방되지 않을 수도 있다. 이 경우 포트포워딩을 사용해서 외부의 80포트를 내부의 다른 포트로 라우팅해주면 된다. 최악의 경우 80포트 자체의 연결이 막혔거나, 본인이 포트포워딩을 마음대로 설정할 수 없는 경우는 이 방법으로 인증할 수 없다.

HTTP 요청

---

웹 ROOT 경로에 .well-known 폴더를 생성하여 내부에 임시 파일을 생성한다. 임시 파일은 랜덤한 해쉬값이다. 이를 웹 서버에 배포하면 브라우저 상에서 해당 경로를 통해 파일에 접근할 수 있을 것이다.

HTTP 요청은 이러한 방식으로 소유주에게 특정 파일을 서버에 업로드할 것을 요구하여, 해당 파일 접근 가능 여부를 통해 소유주임을 인증한다.

마찬가지로, 80포트 접근이 가능해야만 할 수 있는 인증방법.

OV(Organization Validation)

---

OV는 도메인 뿐만 아니라, 해당 도메인을 소유한 회사, 기업에 대해 검증하여 발급하는 인증서다.

내가 제출한 도메인이 유효한지와는 별개로 도메인을 소유한 단체, 회사에 대한 검증까지 진행한다.

• CN(Common Name): 도메인명
• O(Organization): 기관명
• L(Locality): 지역(시군구)
• S(StateOrProvinceName): 주(시도)
• C(CountryName): 국가

인증서의 주체를 보면 도메인 정보 외에도 이를 소유한 회사/기관의 이름, 지역, 국가 등의 정보를 확인할 수 있다.

OV의 인증서 정책은 2.23.140.1.2.2이다. 이를 통해 해당 인증서가 DV임을 유추할 수도 있다.

자신의 단체/회사가 실존하는지를 입증하기 위해 사업자 등록증 같은 서류를 추가로 제출해야한다.

소유주에 대한 검증 및 서류가 오가게 되므로, 발급이 즉시 이루어지진 못한다. 비용도 더 비싸며 족히 1 ~ 3일 정도는 소요되는 편. 하지만 소유주에 대한 인증 덕분에 보편적인 신뢰성을 제공한다.

대부분의 사기업 페이지에 적합한 인증서. OV 인증서는 대부분의 사이트에 적용되어 있으므로, 대충 번듯한 사이트 하나 들어가서 보면 된다. 지금 이 블로그도 GitHub가 주체라 OV 인증서를 확인할 수 있으니 참고할 것.

EV(Extended Validation)

---

DV, OV인증과 더불어 법인 운영 담당자의 재직 증명, 법인 운영 기간 등 디테일한 요인을 검증하여 발급하는 인증서다.

OV의 경우 회사가 실재하는지를 검증한다면, EV는 회사가 정상적으로 운영되는지를 검증한다.

인증서의 주체를 보면 도메인 정보, 회사 정보 외에도 다양한 정보가 추가되었음을 알 수 있다.

EV의 인증서 정책은 2.23.140.1.1이다. 이를 통해 해당 인증서가 DV임을 유추할 수도 있다.

또한 EV 인증서는 다른 인증서와 달리 인증서 자체에 회사 서명을 표시해준다. 위 사진을 기준으로 좌측이 EV, 우측이 OV 혹은 DV. Microsoft Chromium Edge 기준으로 위와 같이 표시해준다.

그 뿐만 아니라, IE로 접속했을 경우 주소창에 Green Bar를 적용하여 해당 도메인에 EV가 적용되었음을 시각적으로 알려준다. Chromium 기반 브라우저의 경우 시각적으로 표현해주진 않으니 참고할 것.

인증서의 까다로운 심사절차로 인해 발급하는데 걸리는 시간은 2주가 넘어가기도 하며, 비용 또한 매우 비싸다. 하지만 매우 강도 높은 신뢰성을 제공한다.

위와 같은 신뢰성 때문에, 이러한 신뢰성 보증이 필요한 공공기관, 금융권, 쇼핑몰과 같은 페이지에 사용된다. EV 인증서를 직접 보고싶다면, 아무 은행 홈페이지나 들어가보자.

정리

---

SSL이 적용되었는지 여부는 해당 사이트에 SSL 인증서가 있는지 여부를 통해 확인할 수 있다. 겉보기엔 SSL 인증서가 거기거 거기같지만 사실 그 종류만 해도 여러가지가 있으며, 인증서의 주체, 정책을 통해 현재 접속 중인 사이트의 SSL 종류를 확인할 수 있다.

SSL을 적용하는 사이트의 성향에 따라 적합한 SSL 인증서를 발급받도록 하자.

다음 장에서는 SSL 인증을 받기 위한 사전작업인 도메인 발급을 받아본다.