http가 안전하지 않은 이유

http://m.zdnet.co.kr/column_view.asp?artice_id=20180605105748
"구글 크롬의 주소창 낙인, 어떻게 봐야 할까"


자사가 https를 적용하지 않기 때문에 이러한 기사를 쓴 것인지는 모르겠으나

https를 쓰지 않는 것은 잠재적인 위협에 노출된 것이 맞습니다.

반면 https를 쓴다고 해서 항상 안전하다고는 볼 수 없습니다.(드물지만 인증서 유출이 있었다거나 기타 예상치 못한 문제가 있을 수 있으므로)

그런 의미에서 "안전하지 않음"은 유지하고 "안전함"은 없애는 게 좋다고 생각합니다.




[http가 잠재적인 위협에 노출되는 이유]

본문 중 "조만간 여러 웹사이트 주소창 왼쪽에 나타날 안전하지 않음 표시도 동일한 맥락의 오해를 불러일으킬 수 있다. 그 실제 의미는 해당 웹사이트가 'HTTPS 통신을 하지 않는다', 또는 'HTTP 통신을 한다'일 뿐이다. 방문자가 웹서버와 주고받는 내용을 암호화하지 않는다, 그에 따른 보안 효과를 얻을 수 없다는 뜻이다. 하지만 많은 사람들은 불특정한 인터넷 보안 관련 위험으로부터 안전하지 않다는 인상을 얻을지 모른다."라는 내용이 있습니다.

이것은 잘못입니다.
왜냐하면..

1. 요즘은 피싱도 흔하고 해킹으로 인한 피해도 흔합니다. 그렇다면 우리는 불특정한 인터넷 보안 위험에 노출되기 쉬운 상태라고 볼 수 있습니다.

2. 그런데 https를 이용하면, 우리가 올바른 웹사이트에 접속하고 있다는 것을 확인할 수 있습니다. 이를 통해 우리는 피싱 사이트로부터 우리를 지킬 수 있습니다. (호스트 파일을 변조 했더라도요.)
  가. 아래 사진은 네이버의 인증서 정보입니다.
  나. https가 적용된 서버는 모두 인증서를 사용합니다.
  다. 피싱 사이트도 직접 인증서를 사용해서 https를 적용할 수 있으나 인증서의 내용이 다를 수 밖에 없기 때문에 우리는 금방 눈치챌 수 있습니다.
  ※ 단 만약 웹사이트의 인증서가 도난 당하면 인증서의 내용이 같을 수 있습니다. 그렇기 때문에 https를 쓴다고 해서 안전이 100% 보장되는 것은 아닙니다.

3. 또 https를 이용하면 공개된 wi-fi와 같이 불특정 다수가 연결된 네트워크에서도 ID/PW가 노출되지 않습니다.

  가. 공개된 wi-fi에서 http 웹사이트를 이용하면, 다른 사람이 우리가 웹사이트에 입력한 ID/PW 등의 민감한 정보를 쉽게 알아낼 수 있습니다.

  ※ https를 사용하더라도, 네트워크의 취약점을 통해 PC나 핸드폰에 악성프로그램이 설치되면 ID/PW가 노출될 수 있습니다.

[그래서?]

https를 쓴다고 완벽한 보안이 보증되지는 않습니다. 그러나 공개 wi-fi를 이용한 ID/PW 수집과 같이 별 어려움 없이 할 수 있는 해킹이나, 오늘날 폭넓게 발생하는 피싱으로부터 우리를 지킬 수 있습니다.

비용이나 기타 여러 가지 이유로 당장 모든 사이트에 https를 적용할 수 없다는 것에는 동의합니다. 그러나 나중에는 모든 사이트에 https가 적용되길 바랍니다. 그 때까지는 사용자가 스스로 조심해야 합니다.

1. 공개된 wi-fi를 통해 http 웹사이트에 접속할 때에는 ID/PW 등의 민감 정보를 가능한 입력하지 않도록 합니다.

2. http 웹사이트 접속 시 평소와 다른 점이 있는지 생각해봅니다. 웹사이트 주소가 동일하더라도 피싱 사이트일 수 있습니다. 이상하다는 생각이 들면 가능한 사용하지 않을 것을 권해드립니다. 웹사이트 바이러스 검사기도 있습니다.

  https://www.virustotal.com/ko/

  ※ 단 바이러스 검사 사이트는 호스트 파일 변조를 통한 공격까지 확인해주지는 못합니다.