구글은 웹상의 디지털 인증서 보안에 몇 가지 중대한 변화를 꾀하고 있다고 보안 블로그를 통해 발표했습니다. 가장 큰 소식은 반복되는 보안 문제로 인해 Google이 두 대형 보안 회사인 Entrust 또는 AffirmTrust의 인증서를 더 이상 신뢰하지 않는다는 것입니다.
Google에 따르면 인증 기관(CA)인 두 회사는 충족되지 않은 개선 노력, 규정 준수 실패, 공개된 사고 보고서에 대한 회사의 대응 속도에 있어 측정 가능한 진전이 없는 패턴을 보여왔습니다.
디지털 인증서는 사이트의 데이터를 인증하고 보호하는 온라인 파일이며 해커의 표적이 되는 경우가 많습니다. 취약한 디지털 인증서를 악용하는 것은 온라인 보안에 큰 문제가 될 수 있으므로 Google이 이 조치를 그토록 심각하게 받아들이는 이유입니다.
Google의 결정에 따라 Chrome 사용자에게는 빠르면 2024년 10월 31일부터 신뢰할 수 없는 연결에 대한 경고가 표시됩니다.
사용자가 Chrome 127 이상으로 업데이트 하면 TLS 서버 인증 인증서와 관련된 이 경고가 표시되고, 이러한 유형의 사이트에 액세스하면 ERR_CERT_AUTHORITY_INVALID 오류가 표시됩니다. Entrust를 사용하는 사이트로는 merrilledge.com, Moneygram.com, ey.com 등이 있습니다.
Chrome의 주소 표시줄 왼쪽에 있는 '조정' 아이콘 > 연결이 안전함 > 인증서가 유효함을 클릭하면 언제든지 연결이 안전한지 확인할 수 있습니다. 웹 사이트 소유자는 "발행자" 제목 아래의 조직 필드에 Entrust 또는 AffirmTrust가 나열되어 있지 않으면 안심할 수 있습니다.
Google은 웹사이트 소유자에게 마감일 이전에 가능한 한 빨리 공개적으로 신뢰할 수 있는 새로운 CA 소유자로 이전할 것을 권고하고 있습니다. 또한 이는 다른 Google 제품과 관련된 거대 기술 기업의 향후 조치에 대한 선례가 될 수도 있습니다.
그러나 기업 고객은 Entrust를 계속 신뢰하기로 선택한 경우 이를 계속 신뢰할 수 있다는 점에 주목할 가치가 있습니다.
구글이 기업에 행위를 정리하라고 경고한 것은 이번이 처음이 아니다. 2015년에는 직원들이 발급한 무단 HTTPS 인증서 에 대해 시만텍에 최후 통첩을 보냈습니다. 신뢰할 수 없는 사이트에 태그가 지정되었다는 소식에도 불구하고 비밀번호를 암호화하는 등 Chrome의 보안을 대폭 강화할 수 있는 방법이 있습니다.