구글 크롬, 모질라 파이어폭스는 중국 당국의 인증서를 신뢰 못하여 해지

인터넷 브라우저로 이제 마이크로소프트에서 익스플로러 대신에 스파르탄을 발표한다고 합니다. 그에 대한 소식은 아니고 다른 보안에 관한 내용입니다. 제가 사용하는 제품은 크롬과 화이어폭스입니다. 그런데 각각을 운용하는 구글과 모질라에서  중국 정보당국과 인증기관(CA)을 불신하는 조치를 하였습니다. CNNIC(중국 인터넷정보센터)에서 발급한 통신에 사용되는 인증서를 믿을 수 없어서 일시적으로 취소하겠다고 발표했습니다.

HTTPS는 HTTP 통신을 SSL를 사용해 암호화하여 안전하게 사용할 수 있게한 것입니다. 인터넷 주소가 https로 시작됩니다. s가 더 붙어 있습니다. SSL을 사용하는 안전한 통신을 하기 위해 웹 브라우저는 서버에서 증명서를 보내 달라고 합니다. 사이트가 어느 CA(인증기관)에 의해 인가되었는지 확인하고, 자신의 루트 증명서 리스트에서 해당 CA가 포함되어 있는지를 확인합니다. 이를 통해 신뢰할 수 있는 사이트인지 판단할 수 있습니다.

Google과 Mozilla가 CNNIC의 증명서를 해지한 이유는 CNNIC의 하부기관인 MCS가 잘못된 디지털 증명서를 발행하였었기 때문입니다. MCS의 부정한 증명서를 사용하면 주요 브라우저는 '신뢰할 수 있는 사이트'로 표시하게 할 수 있습니다. 따라서 악성 해커의 표적이 될 가능성이 있었습니다. 이에 구글은과 모질라는 자신들의 블로그를 통해 사태를 알리고 있습니다.

다만 곧바로 CNNIC의 증명서를 취소하면 은행과 전자 상거래 사이트가 접속 불능이 됩니다. 따라서 구글과 모질라는 CNNIC의 인증서를 발급 받아서 웹사이트를 관리하는 사람들에게 유예기간을 주었습니다. 피해가 없도록 다른 CA기관에서 대체하여 발급받도록 하고 있습니다. 또한 유예기간에도 CNNIC와 이곳에 연관된 기관이 발급한 인증서는 신뢰 못하는 것으로 처리하고 있습니다.

모질라가 조사해 보니 CNNIC가 중간 CA에 증명서를 발행하는 프로세스는 너무 허술했습니다. PKI 사례는 성문화되지 않았고, 비밀 키의 보관 방법도 허술했습니다. 너무 정도가 심하다고 비판하였습니다. 이번에 업데이트된 Firefox 37에서는 MCS의 인증서를 만료시켰습니다.