브라우저 주소창에 있는 작은 자물쇠 아이콘은 때때로 색이 변하거나, 다른 기호가 겹쳐 나타나거나, 아예 글자로 바뀌기도 합니다. 기본적인 기능은 꽤 명확해 보입니다. 평범한 자물쇠면 안전한 사이트이고, 경고 기호나 메시지가 있으면 안전하지 않은 사이트라는 뜻이겠죠? 하지만 실제로는 조금 더 복잡합니다. 자물쇠는 해당 사이트와의 연결이 HTTPS로 암호화되어 있는지만 알려줄 뿐, 사이트 자체가 합법적이고 완전히 안전한지에 대해서는 거의 아무런 정보도 제공하지 않습니다.
'안전' 자물쇠가 알려주는 것
크롬(Chromium)(
), 파이어폭스(
), 엣지(
), 사파리(
)마다 '안전' 자물쇠의 디자인은 조금씩 다르지만, 모두 본질적으로 같은 내용을 전달합니다. 이 사이트는 SSL 인증서를 발급받았으며, HTTPS를 통해 사이트가 보내는 데이터와 사용자가 보내는 데이터를 모두 암호화하고 있다는 것입니다. 즉, 트래픽을 가로채려는 누군가가 사용자가 사이트에서 하는 일을 엿볼 수 없다는 뜻입니다. 신용카드 번호나 개인 식별 정보를 입력할 때 특히 중요한 부분입니다.
한마디로, 정상적인 자물쇠 아이콘은 올바른 사이트에 안전하게 연결되어 있다는 사실을 알려주는 것입니다.
'안전' 자물쇠가 알려주지 않는 것
SSL 인증서에 익숙하지 않은 분들을 위해 간단히 설명하면, SSL 인증서란 방문하는 사이트가 소유자(개인 또는 회사)에 의해 인증 기관(CA)에 정식으로 등록되었다는 디지털 증명입니다. 사이트 소유자는 더 비싼 인증서인 '확장 유효성 검증(EV)' 인증서를 구매해 자신이 실제로 주장하는 주체인지 검증받을 수 있습니다(예: Amazon.com은 Amazon.com 법인이 소유). 하지만 일반 SSL 인증서는 사이트 소유권 외에는 아무것도 증명하지 않아도 누구나 무료로 발급받을 수 있습니다.
따라서 사이트와의 연결이 엿보는 눈으로부터 안전하더라도, 그 사이트는 수상한 인물이 운영하며 안전하게 전송된 모든 데이터를 마음대로 가져다 쓸 수도 있습니다. 게다가 웹사이트가 정직하게 운영되더라도, 데이터를 받는 쪽 중 하나가 해킹당했다면 암호화된 연결은 아무 의미가 없습니다. HTTPS는 데이터가 전송되는 동안만 보호하기 때문에, 데이터가 상대방 서버에 도착한 후 보안이 취약한 환경에 저장되거나 치명적인 결함이 있다면 여전히 위험에 노출됩니다.
핵심: 자물쇠는 '안전한 연결'에 있다는 뜻이지, '안전한 웹사이트'에 있다는 뜻이 아닙니다.
그 밖의 다양한 자물쇠 기호들
거의 모든 브라우저가 암호화된 연결을 나타내기 위해 어떤 형태로든 닫힌 회색 자물쇠를 사용하지만, 방문하는 사이트에서 감지된 문제에 따라 브라우저마다 서로 다른 아이콘을 표시합니다. 알아두어야 할 몇 가지를 살펴보겠습니다.
크롬
HTTP 페이지에 접속했거나 다른 문제가 있으면 자물쇠 대신 '주의 요함(Not Secure)'(
) 메시지가 표시됩니다. 메시지를 클릭하면 자세한 내용을 확인할 수 있습니다. 또한 HTTP 페이지에서 입력을 시작하면 메시지가 빨간색으로 바뀌어, 입력하는 데이터가 안전하게 전송되지 않을 수 있음을 강조합니다.
파이어폭스
파이어폭스의 '안전하지 않음' 경고는 두 가지 다른 기호로 나타납니다. 자물쇠 위에 노란색 삼각형 경고 기호가 겹쳐진 형태(
)와 자물쇠를 빨간 줄이 가로지르는 형태(
)입니다. 둘 다 사이트가 안전하지 않다는 의미지만, 세부적으로는 조금 다릅니다.
- 노란색 삼각형()은 두 가지 경우를 의미할 수 있습니다. 첫째, 웹사이트가 부분적으로만 암호화된 경우(HTTPS를 사용하지만 일부 콘텐츠가 HTTP 연결로 들어와 조작될 가능성이 있는 경우). 둘째, 인증 기관이 신뢰되지 않는 경우(암호화는 사용하고 있지만 인증서가 수상한 경우)입니다.
- 빨간 줄()은 사이트가 안전하지 않은 연결(HTTP 등)을 통해 전달되고 있으므로, 민감한 정보를 절대 전송해서는 안 된다는 의미입니다.
경고가 정확히 무엇을 의미하는지 자세히 알고 싶다면 자물쇠를 클릭하세요. 파이어폭스가 상세한 정보를 제공해 줍니다.
엣지
엣지가 크로미움 기반으로 전환하면서 표시 방식이 달라질 수 있지만, 기존 엣지의 시스템은 다음과 같습니다. 연결이 보안 처리되었을 때는 자물쇠 윤곽선(), 사이트가 확장 유효성 검증 인증서를 사용할 때는 채워진 초록색 자물쇠(
), HTTP 연결이나 HTTP·HTTPS 혼합 콘텐츠 같은 문제가 있을 때는 'i' 기호(
)를 표시합니다.
사파리
사파리의 자물쇠 아이콘() 역시 엣지와 마찬가지로, 확장 유효성 검증 인증서가 있으면 초록색(
)으로 바뀝니다. 연결이 암호화되어 있지 않다면 대신 '안전하지 않음' 메시지가 표시됩니다.
모습을 바꿔 온 자물쇠
오랫동안 대부분의 브라우저는 좋은 보안 관행을 따르는 사이트를 돋보이게 하기 위해 자물쇠를 산뜻한 초록색으로 표시했습니다. 그러나 이제 HTTPS는 사실상 표준이 되었고, 상위 100만 개 사이트 중 절반 이상이 이를 사용하고 있습니다. 그래서 자물쇠는 회색으로 바뀌었는데, 이는 HTTPS를 사용하는 사이트가 더 이상 특별하지 않으며 단지 표준을 지키고 있을 뿐이라는 의미입니다.
앞으로 크롬은 좋은 웹페이지라면 어차피 HTTPS를 사용해야 한다는 논리로, 자물쇠를 아예 없애고 사이트가 안전하지 않을 때만 사용자에게 알리는 방식으로 전환할 수도 있습니다. 페이지가 민감한 정보를 다루지 않더라도, 구글의 검색 알고리즘은 암호화를 사용하는 사이트에 유리한 평가를 주기 때문에 SSL 인증서를 설정하는 것이 모든 사이트 소유자에게 이롭습니다. 사용자가 자물쇠를 먼저 확인하는 습관을 갖고 있지 않을 수 있지만, 주소창에 이상한 표시나 경고 메시지가 보이면 정보를 입력하기 전에 한 번 더 생각하게 될 것입니다.