"이 회사 믿을 수 있나?" SSL 인증서 발급자 이름이 새빨간 거짓말인 이유

요약 웹사이트 보안에 쓰이는 SSL 인증서 정보를 열어보면 발급자(Issuer) 정보에 특정 기업이나 기관 이름이 명확히 적혀 있는 것처럼 보이지만, 사실 이 정보는 실제 발급 기관을 전혀 나타내지 못하는 '거짓말'에 가깝다는 보안 전문가의 글입니다. 실제 미국 배달 앱 도어대시(DoorDash)의 인증서 체인을 살펴보면, 중간 인증서 발급자는 'Cloudflare, Inc.'로, 루트 인증서는 'Baltimore'로 표시되어 있습니다. 얼핏 보면 클라우드플레어가 인증서를 발급하고 볼티모어가 루트 인증을 제공한 것처럼 보이지만, 클라우드플레어는 인증기관(CA)이 아니며 볼티모어는 그냥 도시 이름일 뿐입니다. 실제로는 중간 인증서와 도어대시 인증서 모두 유명 보안 업체인 디지서트(DigiCert)가 발급한 것입니다. 이러한 괴리가 발생하는 첫 번째 이유는 '화이트 라벨(White-labeling)' 관행 때문입니다. 클라우드플레어 같은 기업이 디지서트에 비용을 지불하고 자사 이름이 들어간 중간 인증서를 만들면, 실제 비밀키 제어와 엄격한 신원 검증 절차는 디지서트가 수행하지만 겉표면에는 다른 회사 이름이 찍히게 됩니다. 과거 2016년에도 시맨텍이 감시 장비 제조로 악명 높던 '블루 코트(Blue Coat)' 이름의 중간 인증서를 발급했다가 이용자들이 감시 장비 회사가 CA가 된 것으로 착각해 크게 불안해했던 소동이 있었습니다. 두 번째 원인은 인증서 업계의 빈번한 '기업 인수합병(M&A)'입니다. 도어대시 체인에 적힌 'Baltimore'는 이미 파산한 지 오래된 볼티모어 테크놀로지스를 뜻합니다. 이 회사는 2000년 GTE의 인증 사업부를 인수했다가 2003년 벳트러스티드에 매각했고, 이후 트루시큐어 합병, 버라이즌 인수(2007년)를 거쳐 2015년 디지서트에 루트 인증서 개인키가 팔렸습니다. 2003년 이후 소유주가 네 번이나 바뀌었지만 인증서 속 텍스트는 그대로 남아 있는 것입니다. 과거 1999년에 사라진 쏜(Thawte)이라는 브랜드가 2017년까지 신규 인증서 발급자에 찍혔던 것도 같은 이유입니다. 이로 인해 보안 담당자들이 인증서 유출이나 도용을 감지해도 정작 즉각 폐기 요청을 보낼 진짜 인증기관을 찾지 못해 엉뚱한 대행사에 연락했다가 무시당하는 등 실제 보안 대응에 심각한 혼선이 빚어지고 있습니다. 글쓴이는 이 문제를 해결하기 위해 실제 인증기관을 매핑해 알려주는 데이터베이스를 운영하고 있으며, 관련 API도 공개해 혼란을 방지하고 있다고 설명합니다.