웹 전반으로 암호화가 빠르게 확산되면서, 사람들은 이제 SSL/TLS 암호화를 곧바로 '신뢰'와 연결 짓기 시작했습니다. 그 결과 눈덩이처럼 커지는 선순환이 만들어졌고, 더 많은 웹사이트가 뒤처지지 않으려면 암호화를 도입해야 한다는 압박을 느끼게 되었습니다. 특히 전자상거래 사이트는 고객들이 암호화되지 않은 환경에서의 온라인 결제를 꺼렸기 때문에 가장 먼저 이러한 압박을 체감했습니다.
개인이 운영하는 단순한 웹사이트라면 암호화는 온라인 거래를 보호하는 알고리즘 정도로 여겨질 수 있습니다. 하지만 기업이나 조직이 운영하는 웹사이트의 경우 이야기가 훨씬 복잡해집니다. 인증 기관(CA, Certificate Authority)과 다양한 수준의 검증 절차가 개입하기 때문입니다. 그런데 Let's Encrypt 같은 무료 CA가 등장하면서 "굳이 유료 인증서를 써야 할까?", "유료가 더 좋은 걸까?"라는 의문이 생기기 시작했습니다. 결론부터 말하자면, 사이트의 용도에 따라 답이 달라집니다.
CA(인증 기관)란 무엇이며 왜 중요한가?
HTTPS를 적용하고 내 웹사이트를 '안전한 사이트'로 인정받으려면, 즉 방문자의 브라우저 주소창에 자물쇠 아이콘이 표시되게 하려면 반드시 인증 기관이 발급한 SSL 인증서가 필요합니다. 인증서는 내 온라인 존재가 '실재하는 합법적인 것'임을 검증해 주는 역할을 하며, 검증 수준은 크게 세 가지로 나뉩니다.
- DV(Domain Validation, 도메인 검증): 해당 도메인의 소유권이 본인에게 있음을 증명하는 가장 기본적인 검증
- OV(Organizational Validation, 조직 검증): 도메인 소유권 확인에 더해 사이트 운영 주체인 조직에 대한 기본 정보까지 검증
- EV(Extended Validation, 확장 검증): 도메인, 조직, 법적 지위까지 철저하고 엄격하게 심사하는 최상위 검증
DV 인증서는 도메인 소유 증명만 제출하면 되기 때문에 발급 절차가 가장 간단하며, 자동화도 가능합니다.
무료 CA, 어디까지 믿을 수 있나?
Let's Encrypt 같은 무료 인증 기관은 비용 없이 DV 인증서를 발급합니다. 도메인 소유권 확인 절차를 완전히 자동화하여 검증에 드는 비용을 거의 0원 수준으로 낮췄기 때문입니다. 신용카드 번호, 계좌 정보, 여권 번호 같은 민감한 데이터를 다루지 않는 평범한 블로그나 소규모 사이트라면 무료 DV 인증서만으로도 충분합니다.
하지만 전자상거래 사이트를 운영한다면 이야기가 달라집니다. EV 인증서가 제공하는 높은 신뢰 수준은 다른 어떤 인증보다도 조직의 공신력을 강력하게 입증해 줍니다. EV 발급에 필요한 까다로운 심사 절차가 부담스럽다면 최소한 OV 인증서라도 발급받는 것이 좋습니다.
하나의 메인 도메인 아래 여러 서브도메인을 운영하는 대형 웹 서비스라면 와일드카드 인증서를 고려해야 합니다. 와일드카드 인증서를 사용하면 메인 도메인 아래 생성하는 모든 서브도메인을 하나의 인증서로 보호할 수 있습니다. 과거에는 무료로 구하기 어려웠지만, 요즘은 Let's Encrypt에서도 DNS 검증 방식을 통해 무료 와일드카드 인증서를 발급하고 있으니 활용해 볼 만합니다.
결론: 사이트 용도에 맞는 인증서를 선택하라
정리하면 간단합니다. 민감한 데이터를 주고받지 않는 단순한 웹사이트라면 Let's Encrypt가 제공하는 DV 인증서만으로도 충분하며, 굳이 더 비싼 인증서를 사용할 필요가 없습니다.
반면 전자상거래, 금융, 회원 정보를 다루는 사이트라면 상용 인증 기관의 OV 또는 EV 인증서를 선택하는 것이 안전합니다. 국가에 따라서는 법적 효력이 있는 계약을 체결할 때 EV 인증서를 사용하지 않으면 법적인 문제가 발생할 수도 있습니다.
그렇다면 언젠가 모든 인증서 검증이 완전히 자동화될 수 있을까요? 아니면 인류에게 아직 너무 큰 도약일까요? 여러분의 생각을 댓글로 알려주세요!