[칼럼] 보이지 않는 위협, SSL 암호화
올해
초 파리사 타브리즈(Parisa Tabriz) 구글 보안 담당 디렉터가 HTTPS를 지원하지 않는 웹사이트에 대해서는 구글 웹 브라우저를 통해 강력하게 경고 표시를 하겠다고 밝혔는데요.
파리사
디렉터 발언이 국내에서 HTTP 보안 문제를 인식하는 계기가 되면서 시스코 코리아도 지난블로그포스팅을 통해 해당 이슈를 전해드린 바 있습니다. 지난
포스팅에 이어, 오늘은 보다 구체적으로 HTTP와 HTTPS가 어떻게 다른지, 그리고
HTTPS와 같은 암호화된 SSL(Secure Socket Layer) 통신에 숨겨진 보안
위협에 대해서는 어떻게 방어할 것인지 알아보겠습니다.
HTTP와
HTTPS의 차이?
HTTP(Hyper Text Transfer Protocol)는 월드 와이드 웹(WWW) 상에서 정보를 주고받을 수 있는 프로토콜로 익스플로러, 크롬, 파이어폭스 등 웹브라우저를 통해 인터넷을 이용할 경우 사용하는 통신 표준 규약입니다.
HTTP는 ‘인터넷이 어떻게 연결될 수 있을까?’에 대한 고민에 기반해 만들어진 프로토콜인 만큼 어떻게 보안을 유지할 수 있는지에 대한 고민은 부족했던 것
같습니다. HTTP로 통신하는 내용의 경우 암호화되지 않은 평문(Plain
Text, Clear Text)으로 전송되어 쉽게 노출이 가능하기 때문이죠.
이러한 HTTP의 단점을 보완하기 위해 등장한 것이 HTTPS입니다. HTTP over SSL 혹은 HTTP over Secure을 뜻하는 HTTPS는 HTTP에 보안을 강화하여 암호기를 통해 데이터를 암호화
및 복호화합니다. 넷스케이프에서는 이미 20여년 전부터 개발, 사용되어 온 기술로 현재는 SSL 3.0 기반 기술이 표준화돼 TLS(Transport Layer Security)로도 불리고 있습니다. 즉, HTTPS는 SSL/TLS에 기반한 표준 기술이라고 볼 수 있죠.
HTTPS는
위험하지 않다?
이러한 HTTPS의 특성에 기반해 점점 더 많은 기업이 보안 강화를 위해 HTTPS를
사용하고 있는데요. 기업들의 신뢰가 무색하게 최근 SSL/TLS 기술을
통한 암호화가 악성 공격의 수단으로 이용돼 문제가 되고 있습니다.
해커들이
암호화된 채널을 통한 내부망 정찰 및 악성코드 배포, C&C(Command & Control) 서버
연동 등에 SSL을 악용하고 있기 때문인데요. 이제는 SSL/TLS 기술과 공인 인증 기관 CA(Certificate
Authority)가 배포한 공인 인증서를 사용해 서버와 통신하더라도 해당 콘텐츠나 채널 자체를 마냥 신뢰할 수는 없게 되었습니다.
HTTPS에
숨겨진 위협 확인 방법 2가지!
해커들이
HTTPS를 악용하고 있는지 확인하기 위해서는 SSL/TLS를
복호화, 암호화하여 원 데이터를 하나씩 살펴보아야 합니다. 듣기만
해도 그리 간단한 작업 같진 않죠? 이를 위해서 업계에서는 크게 두 가지 방법을 사용하고 있습니다.
● 확인 방법 1.
첫
번째 방법은 내부에서 인터넷으로 가는 트래픽에 차세대 IPS 및 차세대 방화벽을 설치, MITM(Man-In-The-Middle) 공격처럼 세션을 가로채 외부 서버와 내부 클라이언트 PC에 각각 SSL/TLS 세션을 맺고 모든 트래픽을 복호화하는 방법입니다. 이후 검역을 마친 뒤 검증된 트래픽만 다시 암호화하여 통과시키는 것이죠.
● 확인 방법 2.
두
번째 방법은 HTTPS로 외부 클라이언트 PC에서 회사 내부의
서버로 접속하는 경우입니다. 일반적으로 내부 서버의 경우 그 수가 상대적으로 많지 않고 자체 인증서를
관리할 수 있으므로, 애초에 인증서들을 차세대 IPS나 차세대
방화벽에 입력해 두면 SSL/TLS로 암호화된 트래픽을 자유롭게 복호화해서 검역할 수 있습니다.
시스코
역시 SSL/TLS 트래픽 분석 및 차단을 위한 다양한 솔루션을 보유하고 있습니다. 대표적으로 엄브렐러(Umbrella), 파이어파워 NGIPS(FirePOWER NGIPS), 파이어파워 NGFW(Firepower NGFW) 등이 별도 제품 없이 자체적으로 SSL/TLS로 암호화된 트래픽에 대한 검역과
보안을 제공합니다.
이와
더불어 시스코는 SSL/TLS로 암호화된 사이버 공격을 클라우드 기반의 분석 시스템을 통해 감지할 수
있는 새로운 기술도 준비하고 있는데요. 더 새로워지고, 더
섬세해진 시스코의 보안 솔루션으로 보안에 대한 고민은 한시름 내려놓으시면 어떨까요?
| 시스코 전문가 칼럼으로
최신 IT 트렌드를 알아보세요! |
이 글은 우명하 보안 솔루션 스페셜리스트가 작성한 칼럼입니다. |
Tags:
