요즘 운영체제에서 소프트웨어를 설치하는 일은 너무나 쉬워서 잠결에도 할 수 있을 정도입니다. 그렇다 보니 많은 사용자가 설치 과정을 무심코 지나치며 중요한 요소들을 그냥 넘겨버리곤 합니다.
설치 프로그램을 실행할지 묻는 팝업 창도 대표적으로 간과되는 요소 중 하나입니다. 언뜻 보면 이미 알고 있는 정보뿐인 것 같지만, 사실 그렇지 않을 수 있습니다. 이 창에서 한 번쯤 눈여겨볼 만한 단 한 줄의 텍스트가 바로 '디지털 서명(Signature)'입니다.
설치 프로그램의 서명은 법률 문서의 서명처럼 손으로 하는 방식은 아니지만, 일부 프로그램은 자체적인 방식으로 전자 서명을 포함하고 있습니다. 이런 문구를 보고 궁금했던 적이 있거나, 지금까지 별다른 관심을 두지 않으셨다면 그 의미를 자세히 알아보겠습니다.
왜 게시자 서명이 필요할까요?
마이크로소프트(Microsoft)는 소프트웨어 설치 프로그램에 서명을 함으로써 변조된 프로그램을 걸러낼 수 있다고 설명합니다. 서명이 되어 있다면 프로그램의 출처가 명확해지고, 만약 문제가 발생했을 때 해당 개발사에게 책임을 물을 근거가 생깁니다.
사용자에게 안정감을 준다는 점도 큰 이유 중 하나입니다. 대부분의 사람들은 잘 알려진 회사나 개발자가 만든 소프트웨어를 설치할 때 훨씬 마음이 편안합니다. 실제로 모질라 파이어폭스(Mozilla Firefox) 웹 브라우저에는 Mozilla Corporation의 공식 서명이 포함되어 있어 신뢰감을 주는데, '알 수 없음(Unknown)'이라는 표기로는 결코 얻을 수 없는 정당성입니다.
그렇다면 서명은 어떻게 하나요?
마이크로소프트가 제공하는 코드 서명 도구인 SignTool.exe는 .exe와 .msi 설치 파일을 포함해 매우 다양한 형식의 파일에 서명할 수 있습니다.
SignTool.exe는 독립 실행형 프로그램으로도 동작하지만, 마이크로소프트 공식 홈페이지에서는 Visual Studio 명령 프롬프트와 기존에 발급받은 서명 인증서를 함께 사용하는 방법을 안내하고 있습니다. 참고로 인증서는 Visual Studio 명령어만으로 생성되는 것이 아니므로 별도의 절차가 추가로 필요합니다.
Visual Studio를 사용하지 않는 개발자라도 SignTool.exe와 함께 코드 서명 인증서(Code Signing Certificate)는 반드시 필요합니다. 마이크로소프트가 관리하는 공식 파트너 목록에 등재된 업체들을 통해 표준 인증서 또는 EV(Extended Validation) 인증서를 발급받을 수 있으며, 이를 마이크로소프트 개발자 센터(Dev Center) 계정과 연계해 사용할 수 있습니다. 일부 특수한 작업에는 EV 인증서가 필수이지만, 대부분의 경우 표준 인증서만으로도 충분합니다.
표준 인증서는 심사 기간이 짧아 상대적으로 발급 비용이 저렴하다는 장점이 있습니다. 다만 EV 인증서만큼 엄격한 신원 검증 절차를 거치지 않으며, 마이크로소프트의 설명에 따르면 LSA 또는 UEFI 코드 서명에는 사용할 수 없습니다.
인증서 유형을 결정했다면, 발급 기관은 사진이 부착된 신분증이나 이름이 기재된 공적 서류 등 신청자의 정보를 요구합니다. 인증서는 무상으로 발급되지 않으며, 특히 법인의 경우 은행 거래 내역서처럼 일반적으로 외부에 공개되지 않는 서류까지 제출해야 할 수 있습니다.
이처럼 인증서를 받은 개발자는 설치 프로그램에 직접 서명을 하여 제품의 공식성과 신뢰도를 한층 높일 수 있습니다.
마치며
지금까지 살펴본 것처럼, 설치 창의 단 한 줄짜리 게시자 정보를 얻기 위해서는 겉으로 보이는 것 이상으로 많은 절차가 필요합니다. 물론 아직도 상당수 프로그램이 코드 서명 없이 배포되고 있지만, 그렇다고 해서 곧바로 PC에 위협이 되는 것은 아니며 인증서가 없다는 이유만으로 의심할 필요까지는 없습니다.
다만 소프트웨어 경고창에 표시되는 게시자 이름의 의미를 알아두는 것은 분명 도움이 됩니다. 내 컴퓨터에 어떤 프로그램을 설치하는지 끊임없이 관심을 갖는 자세가 중요하며, 뭔가 수상해 보인다면 한 번 더 신중하게 따져보는 습관이 결국 자신을 지키는 최선의 방법입니다.