ssl vpn은 인터넷 통신을 암호화해서 안전하게 주고받도록 하는 기술 가운데 하나이며, 흔히 회사 밖에서 내부망에 접속할 때 쓰는 원격 접속 방식을 가리킨다. 이 검색어를 찾는 사람은 대개 웹사이트나 앱을 만들면서 보안 인증서를 신청하기 전에 ssl과 ssl vpn이 무엇을 뜻하고 어떤 종류를 골라야 하는지 궁금해서 들어온다. 이 글은 ssl 뜻부터 ssl 인증서 발급, ssl vpn과의 차이, ssl/tls라는 표기까지 한 번에 정리해서 다시 찾아볼 필요가 없도록 설명한다.
SSL과 SSL/TLS는 무엇을 가리키나
SSL은 Secure Sockets Layer의 줄임말로, 인터넷에서 두 컴퓨터가 주고받는 데이터를 암호화해서 중간에서 가로채더라도 내용을 알아볼 수 없게 만드는 통신 규약을 가리킨다. 지금 웹사이트에서 실제로 쓰이는 것은 SSL을 개선한 후속 규약인 TLS이지만, 오랫동안 SSL이라는 이름이 굳어져서 지금도 SSL과 TLS를 묶어 ssl/tls라고 함께 쓰는 경우가 많다. 그래서 브라우저 주소창에 자물쇠 표시가 뜨거나 주소가 https로 시작하는 것은 그 사이트가 SSL/TLS 방식으로 암호화 통신을 하고 있다는 뜻이다. 다만 SSL이라는 약어는 웹 보안 분야 밖에서 다른 기기 이름 등 전혀 다른 뜻으로도 쓰이는 경우가 있으므로, 이 글에서 다루는 SSL은 오직 인터넷 통신 보안과 관련된 것으로 한정한다.
SSL 인증서는 왜 필요하고 종류는 어떻게 나뉘나
SSL 인증서는 웹사이트가 SSL/TLS 방식으로 암호화 통신을 한다는 것을 증명해 주는 전자 문서이며, 인증 기관이 그 웹사이트의 소유자가 맞는지를 확인한 뒤 발급한다. 확인하는 깊이에 따라 크게 세 갈래로 나뉜다. 도메인 소유만 확인하는 방식은 절차가 가장 간단하고 발급도 빠르지만 증명하는 내용이 도메인 소유 여부에 그친다. 여기에 더해 운영하는 조직이 실제로 존재하는지까지 확인하는 방식이 있고, 가장 엄격하게 조직의 법적 실체와 운영 사실까지 확인하는 방식도 있다. 어떤 방식을 고를지는 그 사이트가 개인 블로그인지, 회사 소개 사이트인지, 결제나 로그인처럼 민감한 정보를 다루는 서비스인지에 따라 달라진다.
SSL VPN은 인증서와 무엇이 다른가
ssl vpn은 SSL 인증서와 이름은 비슷하지만 쓰이는 목적이 다르다. SSL 인증서는 웹사이트와 방문자 사이의 통신을 암호화하는 데 쓰이는 반면, SSL VPN은 회사 밖에 있는 사람이 내부 네트워크에 원격으로 접속할 때 그 통신 구간 전체를 SSL/TLS 방식으로 암호화해서 보호하는 접속 방식이다. 예전에 많이 쓰이던 방식은 전용 프로그램을 설치해야 접속되는 구조였는데, ssl vpn은 웹 브라우저만으로도 접속할 수 있게 만든 방식이 대표적이어서 별도 프로그램 설치가 부담스러운 환경에서 자주 선택된다. 즉 홈페이지를 만들 때 필요한 것은 SSL 인증서이고, 내부 시스템에 외부에서 안전하게 접속하는 환경을 만들 때 검토하는 것이 ssl vpn이어서 둘을 같은 것으로 혼동하면 엉뚱한 것을 신청하게 된다.
SSL 인증서를 신청할 때 가장 흔한 혼동은 도메인 하나짜리 인증서와 여러 하위 도메인을 한꺼번에 포함하는 인증서를 구분하지 못하는 경우다. www가 붙은 주소와 붙지 않은 주소를 서로 다른 도메인으로 취급하는 인증서도 있어서, 실제로 방문자가 쓰는 주소 형태를 미리 확인해 두어야 나중에 오류 화면을 보는 일을 줄일 수 있다. 또 하나 자주 놓치는 부분은 인증서에 유효기간이 있다는 점이다. 기간이 끝나면 브라우저가 경고를 띄우기 때문에, 갱신 시점을 미리 챙겨 두는 것이 홈페이지 운영에서 놓치기 쉬운 실무다.
상황에 따라 확인할 것이 달라진다
개인이 운영하는 작은 홈페이지라면 도메인 소유만 확인하는 인증서로도 암호화 통신 자체는 충분히 이뤄진다. 반면 회원 가입, 결제, 개인정보 입력처럼 방문자가 민감한 정보를 남기는 서비스를 운영한다면 조직 확인까지 거친 인증서를 쓰는 쪽이 신뢰를 얻는 데 도움이 된다. 앱을 만드는 경우에도 마찬가지로, 앱이 서버와 통신하는 구간에 SSL/TLS 암호화가 적용되어 있는지를 개발 단계에서 확인해야 하며, 이 부분은 홈페이지와 마찬가지로 인증서를 서버에 올바르게 설치했는지에 따라 달라진다. 여러 서비스를 운영하면서 외부 직원이나 협력사가 내부 시스템에 접속해야 한다면, 이때는 SSL 인증서만으로는 해결되지 않고 앞서 설명한 ssl vpn과 같은 원격 접속 체계를 별도로 검토해야 한다.
SSL 인증서를 발급받았다고 해서 웹사이트 자체의 보안이 전부 해결되는 것은 아니라는 점도 자주 오해하는 부분이다. 인증서는 통신 구간을 암호화하는 역할만 하기 때문에, 서버 관리나 로그인 정보 보호, 소프트웨어 취약점 점검처럼 통신 밖에서 이뤄져야 하는 보안 조치는 별도로 챙겨야 한다. 또한 인증서를 한 번 설치했다고 영구히 유지되는 것이 아니라 정해진 기간마다 다시 갱신해야 한다는 점, 그리고 인증 기관이 발급 과정에서 확인하는 항목이 갈래마다 다르다는 점을 헷갈리면 필요 이상으로 비용을 들이거나 반대로 필요한 확인 절차를 건너뛰게 될 수 있다.
아래 표는 SSL과 관련해서 자주 나오는 갈래를 나란히 정리한 것이다. 정확한 절차와 세부 조건은 인증 기관이나 서비스 제공처의 공식 안내에서 확인하는 것이 가장 정확하다.
| 구분 | 무엇을 하나 |
|---|---|
| SSL/TLS | 통신 내용을 암호화하는 규약 자체를 가리킨다 |
| SSL 인증서(도메인 확인) | 도메인 소유 여부만 확인하고 발급한다 |
| SSL 인증서(조직 확인) | 운영 조직의 실체까지 확인하고 발급한다 |
| SSL VPN | 외부에서 내부 네트워크에 암호화된 경로로 접속하는 방식이다 |
실제로 SSL 인증서나 ssl vpn 도입을 준비한다면 순서를 정해 두고 접근하는 것이 헷갈림을 줄이는 방법이다. 먼저 운영하는 사이트나 서비스가 어떤 정보를 주고받는지를 파악하고, 그 성격에 맞는 인증서 갈래를 정한다. 다음으로 도메인 구성이 어떻게 되어 있는지, 하위 도메인을 함께 포함해야 하는지를 확인한다. 마지막으로 발급과 갱신, 설치 방법은 인증 기관이나 이용하는 호스팅·서버 제공처의 공식 안내를 따라 진행하는 것이 가장 정확하며, 세부 절차와 조건은 신청 시점의 안내에 따라 달라질 수 있으므로 신청 직전에 다시 한 번 확인하는 편이 안전하다.
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.