HTTPS 웹 사이트가 대다수의 사용자를 상대적으로 안전하게 느끼게 할지도 모르지만 HTTPS 웹 사이트라는 것만으로는 안전이 보장되지 않는다. 그래서 웹 사이트의 보안을 바르게 평가하는 방법을 사용자에게 확실히 이해시키는 것은 중요하기 때문이다. 마이클 뮬린스가 시큐리티솔루션즈(Security Solutions)의 이번 호에서 몇 가지 방법을 소개했다.

사용자는 HTTPS로 시작하는 웹 사이트를 브라우징할 때 인터넷에서 문서를 안전하게 보낼 수 있는 프로토콜인 SSL(Secure Sockets Layer)로 안전하게 연결된다고 생각한다. 대부분의 웹 사이트는 중요한 데이터를 주고받을 때 이 프로토콜을 사용한다. 예를 들면, 고객의 쇼핑 카트 데이터와 신용카드 번호.

HTTPS 웹 사이트가 대다수의 사용자를 상대적으로 안전하게 느끼게 할지도 모르지만 HTTPS 웹 사이트라는 것만으로는 안전이 보장되지 않는다. 사용자의 데이터를 바르게 보호하려면 사이트의 보안을 바르게 평가하는 방법을 확실히 이해시켜야 하고 게다가 비보안 통신에서 노출되기 쉬운 기업의 데이터는 더욱 그렇다.

SSL 확인하기
온라인 폼을 처리할 때 안전한 서버가 실질적으로 모든 것을 처리하지 않는다. 이것은 사용자가 생각하는 것처럼 되지 않을지도 모른다는 것을 말한다.

만약 신용카드 정보를 입력하는 웹 페이지의 HTML 소스코드를 본다면 다음과 같은 코드를 볼 수 있을 것이다.

또는

POST 폼에 IP 주소가 명시된다면 사용자는 다른 사이트를 브라우징할 수도 있다. 웹 사이트는 오직 등록된 사이트에서만 중요한 정보를 전송해야 한다.

다음은 사용자가 일반적으로 접하는 4가지 형식이다.

*'http://www.shop.com/form.html' 페이지가 ''라는 폼 태그를 포함할 때 : 전혀 안전하지 않다. 아무것도 암호화하지 않는다.

*https://www.shop.com/form.html' 페이지가 ''라는 폼 태그를 포함할 때 : 이것도 안전하지 않다. 데이터를 전송할 때 새로운 HTTP 세션을 생성하지만 안전하지 않다.

*http://www.shop.com/form.html' 페이지가 ''라는 폼 태그를 포함할 때 : 이것은 폼 웹 사이트에 정보를 안전하게 전송한다.

*https://domain.com/form.html' 페이지가 ''라는 폼 태그를 포함할 때 : 이것도 폼 웹 사이트에 정보를 안전하게 전송한다.

데이터가 안전한지 확인하기
중요한 정보를 SSL을 사용해 전송하면 웹 사이트의 정보는 안전해질 것이다. 그러나 그 이면에는 무엇이 숨겨져 있을까?

예를 들어, 대부분 작은 회사는 웹 사이트를 직접 운영하지 않고 웹 호스팅 서비스를 받는다. 그러나 보통 웹 호스팅 서비스는 웹 폼 데이터를 이메일로 변환하는데 아마 십중팔구는 데이터를 전혀 암호화하지 않을 것이다. 이것은 이메일에 접근할 수만 있으면 누구든지 쉽게 고객의 중요한 정보에 접근할 수 있다는 것을 의미한다.

웹을 이용할 때 사용자는 이 점을 명심해야 하고 웹 사이트는 데이터 보안에 관해 고객이 안심하도록 노력해야 한다.

고객은 바르게 구현된 SSL 웹 사이트에서 정보가 안전하게 처리될 것이라는 기대하게 된다. SSL 웹 사이트를 구축하고 그 후에 비보안 방법을 사용하는 사이트에 수집된 중요한 정보를 전송하는 것은 상식에 벗어난 일이고 좀 어설프다.

중요한 데이터를 안전하게 저장하고 전송하고 수집하는 첫 단계는 SSL을 적용하는 것이다. 사용자는 웹사이트를 평가하는 방법을 확실히 알게 하고 사용자들이 회사가 웹 사이트를 철저히 안전하게 운영하기 위해 노력한다고 선전하라.

***필자 소개***:
마이크 뮬린스는 미 재무부 비밀 검찰국과 국방부 정보시스템 계획국에서 네트워크 부관리자 겸 네트워크 보안 관리자로 일하고 있다. 현재는 STNO(Southern Theater Network Operations)과 시큐리티 센터의 운영 이사를 맡고 있다.