SSL은 인터넷에서 오가는 정보를 암호화해 주고받는 통신 규약을 가리키는 말이다. Secure Sockets Layer의 줄임말로, 브라우저와 서버 사이에 오가는 자료를 제3자가 가로채도 읽을 수 없게 만드는 기술이다. 이 글은 SSL이 정확히 무엇을 하는 장치인지, SSL 인증서는 왜 필요한지, SSL VPN은 일반 SSL과 어떻게 다른지, 그리고 예전에 쓰이던 SSL1·SSL2 같은 버전이 왜 지금은 쓰이지 않는지를 차례로 설명한다.
인터넷 초창기에는 브라우저와 서버가 주고받는 자료가 암호화되지 않은 채로 오갔다. 아이디와 비밀번호, 결제 정보 같은 자료가 그대로 노출될 위험이 있었고, 이를 막기 위해 통신 구간 자체를 암호화하는 방식이 고안됐다. 그렇게 만들어진 규약이 SSL이며, 이후 보안 취약점이 발견되면서 더 안전한 후속 규약인 TLS로 이름과 구조가 바뀌었다. 다만 업계 관습상 지금도 TLS를 가리켜 습관적으로 SSL이라 부르는 경우가 많다.
SSL과 TLS는 같은 말인가
정확히 말하면 대부분의 웹사이트가 쓰는 암호화 규약은 SSL이 아니라 TLS다. SSL은 여러 세대를 거치며 SSL1, SSL2, SSL3 순서로 개선되다가 보안 결함이 계속 드러나면서 사용이 중단됐다. 이를 대체한 규약이 TLS이며, TLS도 버전을 거듭하며 개선되어 왔다. 그런데도 사람들이 여전히 SSL이라는 말을 쓰는 이유는 이 규약이 처음 자리 잡을 때 쓰인 이름이 굳어져 관용어처럼 남았기 때문이다.
그래서 홈페이지에 적용하는 보안 규약을 정확히 부르면 SSL/TLS라고 쓰는 것이 맞다. 실제로 브라우저 개발사나 보안 업계 문서에서도 SSL/TLS라는 표기를 함께 쓰는 경우가 흔하다. 옛 버전의 SSL은 보안에 구멍이 있다는 사실이 알려지면서 대부분의 브라우저가 아예 접속을 차단하도록 막아 놓았다. 그러니 새로 홈페이지나 앱을 만든다면 반드시 최신 TLS 규약을 지원하는 방식으로 설정해야 한다.
SSL 인증서는 무엇을 증명하는가
SSL 인증서는 특정 홈페이지 주소가 실제로 그 운영 주체가 맞다는 사실과, 그 사이트로 오가는 통신이 암호화된다는 사실을 함께 보증하는 전자 문서다. 인증서가 없으면 브라우저 주소창에 자물쇠 표시가 뜨지 않고, 대신 안전하지 않다는 경고가 나타난다. 인증서는 크게 개인이 쉽게 신청할 수 있는 종류부터, 사업자 정보까지 확인한 뒤 발급하는 종류까지 여러 단계로 나뉜다. 어떤 종류를 선택하느냐는 홈페이지의 성격과 취급하는 정보의 민감도에 따라 달라진다.
다만 SSL 인증서가 있다고 해서 그 사이트의 운영자가 믿을 만하다거나 사이트 안의 내용이 안전하다는 뜻은 아니다. 인증서는 통신 구간이 암호화되어 있다는 사실만 보증할 뿐, 사이트 운영자의 신뢰도나 콘텐츠의 정확성까지 보장하지는 않는다. 자물쇠 표시만 보고 안심했다가 다른 방식으로 피해를 보는 경우도 있으므로, 인증서 유무는 여러 확인 기준 가운데 하나로만 봐야 한다. 인증서 발급과 함께 사이트 주소, 운영자 정보 등을 같이 살피는 것이 안전하다.
SSL VPN은 일반 SSL과 어떻게 다른가
SSL VPN은 웹사이트에 붙는 암호화 규약과는 쓰이는 자리가 다르다. 회사 내부망처럼 외부에서 함부로 접근하면 안 되는 시스템에, 직원이 원격으로 안전하게 접속할 수 있도록 만든 통로가 SSL VPN이다. 이름에 SSL이 들어가는 이유는 접속 구간을 암호화하는 방식이 웹 통신 암호화와 비슷한 원리를 쓰기 때문이다. 별도의 전용 프로그램을 설치해야 하는 방식도 있고, 웹 브라우저만으로 접속되는 방식도 있어 회사 환경에 따라 선택이 달라진다.
SSL과 관련해 자주 헷갈리는 부분은 인증서만 달면 해킹을 당하지 않는다는 생각이다. 인증서는 통신 구간의 도청을 막아 줄 뿐, 홈페이지 자체의 프로그램 결함이나 관리자 계정 관리 소홀까지 막아 주지는 않는다. 또 하나 흔한 오해는 옛날에 쓰던 SSL이라는 이름이 지금도 그대로 쓰인다고 여기는 것인데, 실제로는 이미 TLS로 대체된 지 오래다. 이런 차이를 모르고 넘어가면 보안을 다 갖췄다고 착각하기 쉽다.
무엇을 먼저 확인해야 하나
홈페이지나 앱에 SSL/TLS를 적용하려 한다면 가장 먼저 확인할 것은 지금 쓰는 서버나 호스팅 환경이 최신 TLS 규약을 지원하는지 여부다. 그다음은 사이트 성격에 맞는 인증서 종류를 고르는 일이고, 마지막은 인증서를 발급받은 뒤 주기적으로 갱신 기한을 놓치지 않는 일이다. 인증서는 영구적으로 유효한 것이 아니라 정해진 기간이 지나면 다시 갱신해야 하므로, 담당자가 기한을 관리하지 않으면 어느 날 접속이 차단될 수 있다. 발급과 갱신 절차는 인증서를 내주는 기관의 공식 안내를 통해 확인하는 것이 정확하다.
| 구분 | 내용 |
|---|---|
| SSL(구버전) | 초기 암호화 규약으로 보안 결함이 드러나 지원이 중단됨 |
| TLS | SSL을 대체한 현재의 암호화 규약, 버전이 이어지며 개선됨 |
| SSL 인증서 | 사이트 신원과 통신 암호화를 보증하는 전자 문서 |
| SSL VPN | 내부망에 원격으로 안전하게 접속하도록 만든 통로 |
SSL이라는 말이 가리키는 대상은 문맥에 따라 조금씩 다르다. 어떤 자리에서는 웹사이트 암호화 규약을 뜻하고, 어떤 자리에서는 원격 접속 통로를 뜻하며, 옛 버전을 가리킬 때도 있다. 홈페이지나 앱을 새로 준비한다면 지금 쓰려는 서버와 호스팅 업체가 최신 규약과 인증서 발급 절차를 어떻게 안내하는지부터 확인하는 것이 순서다. 인증서 종류와 발급 방법, 갱신 주기는 인증서를 내주는 기관과 호스팅 업체의 공식 안내에서 다시 한 번 확인하면 된다.
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.