여러 매체에 따르면, 구글과 시만텍(Symantec)은 인터넷 전체를 암호화하는 대형 프로젝트의 주도권을 놓고 첨예하게 대립하고 있습니다. 시만텍은 일부 기업에 확장 유효성 인증서(EV 인증서)를 발급해 왔는데, 구글은 이러한 인증서가 특정 도메인과 그 사용자들에게 사이버 및 보안상 위험을 초래할 수 있다고 지적했습니다. 결국 구글은 해당 인증서들이 제대로 활용되지 않았다며 신뢰 등급을 하향 조정하겠다는 방침을 밝힌 것입니다.
수년간 누적된 3만 장의 문제 인증서
시만텍은 세계 최대의 인증기관(CA) 중 하나로, 2014~2015년에는 전체 웹의 약 30%에 달하는 인증을 담당했던 거대 기업입니다. 그러나 구글은 시만텍이 자신의 책무를 소홀히 했다고 강하게 비판합니다. 실제로 시만텍은 웹사이트에 대한 적절한 검증 절차 없이 무려 3만 장에 가까운 인증서를 발급한 정황이 드러났습니다. 이에 대해 시만텍은 구글의 주장을 '무책임하다', '과장되고 오해를 불러일으킨다'며 정면으로 반박했습니다.
"1월 19일부터 구글 크롬 팀은 시만텍이 인증서를 적절히 검증하지 못한 일련의 문제를 조사해 왔습니다. 조사 과정에서 시만텍이 내놓은 설명은 크롬 팀의 질문이 반복될 때마다 잘못 발급된 인증서의 범위가 계속 확대되는 양상을 보였으며, 처음 보고된 127개의 인증서는 최소 3만 개 이상으로 늘어났습니다. 해당 인증서들은 수년에 걸쳐 발급된 것입니다."
구글의 공식 입장
구글 소프트웨어 엔지니어 라이언 슬리비(Ryan Sleevi)는 자신의 포스트를 통해 이번 사건에 대한 입장을 밝혔습니다. 그는 "이전에 잘못 발급된 인증서 건에 이어 또다시 실패가 잇따랐고, 이로 인해 우리는 지난 몇 년간 시만텍의 인증서 발급 정책과 관행에 대해 더 이상 신뢰할 수 없게 되었다"고 말했습니다.
그는 또한 "시만텍은 최소 4개의 외부 기관에 인증서 발급이 가능한 인프라 접근 권한을 허용했지만, 요구되고 기대되는 수준의 감독을 충분히 수행하지 않았다. 나아가 이들 기관이 적절한 관리 기준을 준수하지 않았다는 증거가 제시되었음에도, 시만텍은 이를 제때 공개하지 않았고 보고된 문제의 심각성조차 파악하지 못했다"고 지적했습니다.
마지막으로 "이러한 문제와 상응하는 감독 실패는 수년간 지속되었으며, 공개된 정보나 시만텍이 공유한 정보만으로도 누구나 쉽게 확인할 수 있었다"고 덧붙였습니다.
시만텍 인증서를 사용하는 사이트 운영자가 해야 할 일
시만텍은 인증서를 발급하기 전 웹사이트를 제대로 걸러내지 않았고, 이는 인증을 받은 다수의 사이트가 사용자에게 안전하지 않을 수 있다는 우려로 이어졌습니다. 양측의 갈등은 당분간 계속될 것으로 보입니다. 시만텍은 "상황을 해결하기 위해 구글과 협의할 준비가 되어 있다"는 입장을 밝힌 바 있습니다.
HTTPS 연결 검증을 위해 시만텍 인증서를 사용해 온 사이트 운영자들은, 크롬 사용자가 보안 경고나 팝업 없이 사이트에 원활하게 접속할 수 있도록 조치를 취해야 합니다. 잘못 발급된 인증서와 연계된 외부 기관이 네 곳에 이르렀던 만큼, 향후 크롬은 새로운 시만텍 인증서만 신뢰할 가능성이 높습니다. 운영자 입장에서는 기존 인증서를 새 인증서로 교체하기만 하면 됩니다.