핵심 요약
- 한 개발자가 무료 SSL 인증서 서비스 'Let's Encrypt'와 구글의 정책이 보안 맹점을 안고 있으며 강제된 덫이라며 강하게 비판했습니다.
- 자동 갱신 도구의 보안 취약점과 짧은 유효기간으로 인한 수동 갱신의 피로감을 지적하며 절대 쓰지 말 것을 권했습니다.
- 하지만 수년 뒤 "결국 나도 Let's Encrypt 인증서를 설치했고 이에 대해 더는 말하고 싶지 않다"며 백기 투항하는 업데이트를 남겨 화제가 되었습니다.
요약 한 해외 개발자가 무료 SSL 인증서 발급 서비스인 'Let's Encrypt'와 구글의 웹 표준 정책을 향해 신랄한 비판 글을 올렸다가 수년 뒤 머쓱한 엔딩을 맞이한 사연이 화제가 되었습니다.
글쓴이는 구글이 일반 HTTP 웹사이트에 '주의 요함(안전하지 않음)' 경고를 띄우며 사실상 보안 갈취를 벌이고 있다고 주장했습니다. 또한 Let's Encrypt의 소유권 검증 방식이 단순 HTTP 파일 확인에 불과해 중간자 공격(MiTM)을 막지 못하며, 자동 갱신 툴인 certbot이 외부 데이터를 루트 권한으로 웹서버에 밀어 넣는 치명적인 위험을 안고 있다고 지적했습니다. 수동 갱신을 하려고 해도 인증서 유효기간이 3개월에 불과해 평생 갱신 작업에 얽매이게 되는 덫에 걸린다는 논리였습니다.
그는 파이어폭스의 인증서 만료 사고나 마이크로소프트 팀즈 장애를 언급하며 "Let's Encrypt를 쓰지 말라"고 거듭 목소리를 높였습니다. 그러나 글 말미의 2023년 업데이트에서 "결국 나도 Let's Encrypt 인증서를 발급받았고, 더는 이 일에 대해 말하고 싶지 않다"고 고백하며 씁쓸하게 항복을 선언해 커뮤니티 개발자들에게 큰 웃음을 주었습니다.
Sponsored · 광고