[IT칼럼]HTTPS 없이 벌거벗은 웹사이트들

웹은 지금보다는 목가적이던 시대에 태어났다. 웹 서핑한다고 말하던 그 정보의 바다는 그리 붐비지 않아서 서로서로 믿을 수 있었다. “에이치·티·티·피·땡땡·슬래시·슬래시”라는 마법주문 같은 부호로 시작하던 웹 주소를 입력하면 정보가 그림을 곁들여 눈앞에 펼쳐졌고, 이것만으로도 놀라던 시절이었다. 태초의 웹은 어차피 두루마리 같은 논문을 서로 인용하고 돌려보기 위해 시작되었으니 모두가 신사이겠거니 생각했다.

앞으로 곧 일반에 공개될 크롬 브라우저의 차기 버전 68부터 HTTPS가 아닌 사이트들에는 경고 표시가 뜨게 된다.

그러나 웹의 주민들은 급증했다. 얼굴이 보이지 않는 화면 너머에는 이상한 사람들에 의한 괴상한 일들이 벌어지기 시작했다. 정보를 중간에서 가로채는 이들, 가짜 사이트를 대신 보여주는 업자들 등 범죄가 늘어났다. 있는 그대로 전달하는 HTTP라는 정보 전달방식은 로그온 정보마저 그대로 전달할 만큼 순수했다.

험해진 세상, 이제 HTTP를 안전하게 하기 위한 안전(Secure) 버전의 정보 전달방식이 등장하는 일은 시간문제였고, HTTPS가 등장한다. SSL이라는 기술이 활용되는데, 오고 가는 내용을 암호화하고 또 지금 접속하고 있는 주소가 정말 그 주인의 것인지를 인증해주는 두 가지 역할을 하고 있다.

지금 여러분의 웹브라우저에 떠 있는 웹페이지의 주소가 어떻게 시작하는지 한 번 살펴보자. HTTPS://로 시작하지 않는다면 그 웹사이트는 발가벗고 있다. 알몸 그대로가 순박한 것인지 남사스러운 것인지, 그보다 중요한 것은 그런 웹사이트에서 개인정보를 주고받다가는 우리가 입력한 정보도 똑같이 알몸 그대로 활보하게 된다는 점이다.

특히 카페 등지에서 암호가 걸리지 않은 와이파이에 접속한 이들이 S가 빠진 HTTP 사이트들에서 로그온이라도 하는 날에는 커피숍 구석에 앉아 있던 해커에게 그대로 계정정보를 상납하는 꼴이 될 수도 있다. 개인 블로그처럼 특별히 로그온이 필요하지도 않고 그 사이트의 정보를 살짝 바꿔놓아서 얻는 것이 크지 않은 데라면 모를까, 엄연한 상용 사이트들이라면 이제 S 빠진 웹을 운영하는 일은 무책임한 일에 가깝다.

특히 공적인 정보를 전달해야 하는 관공서 사이트나 결제정보를 다루는 쇼핑 사이트 중에도 여전히 HTTPS를 채택하지 않은 곳들이 많다. 검찰청이나 식품의약품안전처와 같이 웹사이트의 정보를 중간에 가로채 뒤바꿔 버렸을 때 적잖은 혼란을 일으킬 만한 공적 영역조차도 암호화 없이 순진무구하게 전달되고 있다. 한국의 SSL 도입률은 세계 수준과 비교하여 그다지 높지 않다. 오랜 기간 웹브라우저의 표준적 암호화를 공인인증서와 액티브X가 대체했던 사연 탓일 것이다.

구글의 크롬, 모질라의 파이어폭스, 애플의 사파리 등 최신형 브라우저들은 모두 HTTPS를 채택하지 않은 웹사이트를 강하게 질책하고 경고하는 방향으로 나아가고 있다. 웹에서는 문서뿐만 아니라 프로그램까지 내려오고 있기 때문이다.

IT칼럼 구독

물론 지금까지 아무 문제 없이 잘 돌던 사이트에 갑자기 경고가 뜰 터이니, 당혹스러울 수도 있을 것이다. 급한 나머지 보안 경고창이 뜨면 무조건 ‘예’를 누르시라고 안내했던 것처럼, 주소창에 ‘안전하지 않음’이라고 나와도 실은 안전하다고 안내가 나올지도 모르겠다. 그러나 그 웹사이트의 이름 모를 주인장보다는 전세계인이 동시에 쓰고 있는 웹브라우저가 거짓말을 할 확률이 낮다고만 기억해 두자. 예전에는 SSL 적용에 비용이 들었으나, 전세계 독지가들의 노력으로 이제 무료로 조치할 방법들도 있어 변명의 여지도 없다.

<김국현 IT칼럼니스트·에디토이 대표>