HTTPS가 실제로 보장하는 것
주소가 https://로 시작하고 주소창에 자물쇠(또는 설정 아이콘)가 표시된다는 것은 사용자의 브라우저와 웹사이트 서버 사이의 통신이 암호화되어 있다는 뜻입니다. 구체적으로는 세 가지가 보장됩니다. 첫째, 중간에서 누군가 통신 내용을 엿볼 수 없습니다(기밀성). 둘째, 전송 중에 내용이 바뀌지 않았음을 확인할 수 있습니다(무결성). 셋째, 접속한 서버가 인증서에 적힌 도메인의 소유자임을 인증기관이 확인했습니다(서버 인증). 카페 와이파이처럼 공용 네트워크에서 로그인 정보가 노출되는 것을 막아주는 핵심 장치가 바로 이것입니다.
HTTPS가 보장하지 않는 것
그러나 HTTPS는 '그 사이트가 정직한 사이트'라는 것까지 보장하지는 않습니다. 인증서는 도메인 소유 여부만 확인하기 때문에, 피싱 사이트 운영자도 자신이 등록한 가짜 도메인에 대해 정상적인 인증서를 무료로 발급받을 수 있습니다. 실제로 최근 적발되는 피싱 사이트의 대다수는 자물쇠를 달고 있습니다. 따라서 자물쇠는 '최소한의 조건'으로 이해하고, 진짜 확인은 인증서에 적힌 도메인이 내가 가려는 서비스의 공식 도메인과 일치하는지 보는 것입니다.
인증서 정보를 직접 읽는 방법
크롬과 엣지에서는 주소창 왼쪽 아이콘을 누른 뒤 '연결이 안전함' → '인증서가 유효함'을 선택하면 인증서 창이 열립니다. 사파리는 자물쇠를 누르고 '인증서 보기'를 선택합니다. 여기서 볼 항목은 세 가지입니다. '발급 대상'의 도메인이 현재 접속한 도메인과 같은지, '발급자'가 알려진 인증기관(Let's Encrypt, DigiCert, GlobalSign 등)인지, '유효 기간'이 현재 날짜를 포함하는지입니다. 은행이나 대형 서비스는 회사 이름이 포함된 인증서를 쓰는 경우가 많아 회사명까지 확인하면 더욱 확실합니다.
인증서 경고 화면의 종류
브라우저가 전체 화면으로 '연결이 비공개로 설정되어 있지 않습니다' 같은 경고를 보여주는 경우는 크게 네 가지입니다. 인증서 유효 기간이 지난 '만료', 인증서의 도메인과 접속한 도메인이 다른 '불일치', 인증기관의 확인 없이 스스로 만든 '자체 서명', 그리고 HTTPS 페이지 안에 암호화되지 않은 요소가 섞인 '혼합 콘텐츠'입니다. 사내 테스트 서버가 아닌 일반 서비스에서 이런 경고가 뜬다면, 사이트 관리 문제이거나 누군가 통신을 가로채고 있을 가능성이 있으므로 '계속 진행'을 누르지 말고 접속을 중단하는 것이 원칙입니다.
'안전하지 않음' 표시가 뜨는 HTTP 사이트
http://로만 접속되는 사이트는 주소창에 '안전하지 않음'이 표시됩니다. 단순히 글을 읽는 용도라면 큰 문제가 없지만, 이런 사이트에서는 절대 비밀번호나 개인정보를 입력하면 안 됩니다. 입력한 내용이 그대로 네트워크에 노출되기 때문입니다. 크롬의 '항상 보안 연결 사용', 엣지의 'HTTPS 우선 모드', 사파리의 자동 HTTPS 업그레이드를 켜두면 브라우저가 가능한 경우 자동으로 HTTPS로 연결을 시도합니다.
네오주소에 등록된 모든 링크는 HTTPS 연결이 정상인지 매일 확인하며, 보안 연결이 되지 않는 주소는 등록하지 않습니다.