 |
| |
|
 | |
SSL은 왜 필요한가요? |
 | | 아마 여러분은 SSL이라는 암호화 통신도 생소하실 겁니다. 우리나라 대부분의 웹서버가 일반적은 HTTP 통신을 통해 데이터를 주고 받고 있습니다. 인터넷상의 데이터는 모두 TEXT기반으로 보내지고 받기 때문에 누구든지 간단한 해킹 방법을 통해, 데이터의 절취 및 도용이 가능합니다. 어것을 전문적으로 스니핑(Sniffing)이라고 합니다. 이러한 스니핑은 회원의 아이디와 비밀번호를 알아내는 데 많이 사용되었으며, PC통신 시절 천리안이나 나우누리 같은 경우도 해커들의 스니핑 대상이었습니다.
웹상에서도 스니핑이 가능해서 로그인, 회원가입, 전자상거래의 이용시 입력 정보를 안전하게 주고 받기 위한 SSL(Secure Socket Layer)라는 암호화 전송규약을 정하고 인터넷 브라우저와 웹서버 사이에 암호화를 통해 정보를 보호하게 되었습니다. SSL서버는 대부분의 웹사이트의 옵션이 아니라 필수 항목입니다. SSL서버를 통해 개인정보 및 상거래 정보를 보호할 수 있기 때문 입니다. [위로] |
|
| |
SSL 인증서가 왜 필요합니까? |
| | SSL을 통해 웹서버와 웹브라우저 사이의 암호화 해주기 위해서는 SSL 인증서가 필요합니다. 인증서란 온라인상의 인감증명서와 같은 것입니다. 인증서를 통해서 개인 및 기업을 확인할 수 있습니다.
그러나, 이러한 인증서는 자신이 스스로 만들 수도 있습니다. 이러한 경우 상대방을 신뢰할 수 없기 때문에 고객이 전자상거래나 금융거래를 하기 위해서 상대방을 확인할 필요가 있습니다. 이 때 제3자에 의해 인증을 받을 필요가 있는데 SSL서버를 운영하는 회사와 운영자가 오프라인 상에 실재하고 있다는 것을 증명해 주는 것 또한 SSL 인증서입니다.
인증기관으로 부터 SSL서버 인증서를 받지 않고 자신이 스스로 만든 SSL서버에 접근하면 위와 같은 경고창이 뜨게 됩니다. SSL인증서는 고객과 웹서비스 운영사 모두 안심하고 사이트를 이용, 유지할 수 있는 필수 서비스입니다. [위로] |
|
| |
인증기관(CA)란 무엇입니까? |
| | |
| |
Thawte는 믿을 만한 SSL 인증 회사입니까? |
| | 국내에 SSL 웹서버가 많지 않았기 때문에 인증서를 발급해 주는 이른바 인증서비스 회사가 잘 알려지지 않았습니다. 가장 잘 알려진 베리사인(Verisign)을 비롯하여 써트(Thawte), RSA시큐리티, GTE(볼티모어), 지오트러스트(Geotrust), 엔트러스트(Entrust) 등이 국제적인 글로벌 SSL 인증서를 발급해주는 회사들 입니다.
이중 Thawte는 웹이 도입되기 시작한 1996년 부터 베리사인과 함게 인증서비스를 최초로 실시하여 저렴한 가격과 간편한 가입절차를 통해, 전세계 시장 점유율 2위로 베리사인 다음으로 높습니다.
이러한 시장점유율 덕분에 풍부한 자금력과 규모를 가진 베리사인이 1999년 12월 Thawte를 인수하여 베리사인의 자회사로 편입되었습니다. Thawte는 그동안의 인증서비스 경험과 베리사인의 국제적인 사업망을 통해 보다 큰 인증 서비스 회사로 거듭날 것입니다.[위로] |
|
| |
Thawte는 왜 다른 회사 보다 저렴합니까? |
| | Thawte는 1997년 SSL 인증서비스 초기 부터 저가정책을 취해 왔습니다. 대부분의 CA서비스들은 Thawte에 비해 인증서 발급 수수료가 높습니다. 이것은 가격비교를 통해서도 알수 있습니다. Thawte가 저렴한 것은 스스로의 가격정책에 따른 것이지 특별한 이유는 없습니다.
SSL 서버 인증 서비스는 웹서비스를 하는 실제 회사 및 개인이 도메인의 소유자임을 인증하여, 개인정보나 금융정보를 입력할 때 사용자가 그 서비스 회사를 신뢰할 수 있도록 확인해 주는 인가 서비스 이기 때문에 특별히 가격에 대한 기준은 없습니다. 단지, 회사의 브랜드, 발급 절차 및 부가 서비스 비용을 고려하여 책정하는 것입니다.
최근에 Thawte 보다도 저가 인증서들이 많이 나오면서, 가격 경쟁이 치열해 지고 있으나 이들 저가 인증서의 경우 성능 및 브라우저 호환성에서 크게 떨어지는 경우가 많습니다. 또한, 회사의 실재성 확인 과정이 단순히 도메인 소유로 한정되어 페이퍼 컴퍼니도 인증해 주는 등 부작용이 많습니다.[위로] |
|
| |
베리사인이 써트보다 더 믿을만 한가요? |
| | SSL방식을 통한 암호화통신에 대한 방식을 이해하신다면, 인증서를 어떤 CA회사가 누가 발급해 주느냐는 크게 신뢰의 대상이 되지 않습니다. 마치 도메인 네임을 누가 등록해주느냐와 같습니다. 또한, 자사의 형편에 맞게 인증서비스를 받으면 됩니다.
베리사인이 믿음직해 보이는 것은 고객을 위한 각종서비스와 기술지원, 보상정책 그리고 까다로운 발급절차 덕입니다. 지금까지 SSL서버 인증서를 미국 Verisign에서 직접 발급 받을려면 절차상 많은 어려움과 시행착오를 겪었습니다. 그러나 베리사인, 인트러스트 등 국내 리셀러들이 업무를 시작하면서, 많은 회사들이 쉽게 SSL 인증서를 발급 받기 시작했습니다.
그러나 대부분은 베리사인의 높은 가격 때문에 중요한 회원가입, 로그인, 신용카드지불 등의 과정에도 SSL 방식을 도입하기를 꺼려하고 있습니다. Thawte의 저렴한 인증서비스는 개인정보를 보호하려는 대부분의 웹사이트들의 대안이 될 수 있습니다. 뿐만아니라, Thawte의 인증서 발급절차 역시 간소하기는 하나 믿을 수 있는 방법을 거치므로 안심하셔도 됩니다.[위로] |
|
| |
공인인증기관의 서버 인증서를 사용해도 되지 않습니까? |
| | 국내에는 한국정보보호센터를 주축으로하는 금융 및 상거래용 공인 인증서비스가 시작되고 있습니다. 금융결제원, 한국증권전산, 한국정보인증, 한국무역정보통신, 한국전자인증 등 인터넷 뱅킹 및 범용 개인 인증서 발급을 통해 안전하고 전자서명법에 준하는 은행 및 상거래 서비스를 하는 것을 목표로 하고 있습니다.
그러나, 공인 인증기관이 제공하는 서버 인증서는 웹브라우저와 웹서버 사이의 표준 SSL 통신 (https)를 지원하지 않습니다. 이러한 SSL인증서비스는 국내외 브라우저 및 서버 개발업체들의 소프트웨어 및 알고리듬 인허를 받아야 하며, 국제적인 서비스를 위한 컨설팅 업체들의 감사도 필요합니다. 따라서 국제적으로 CA서비스 기관은 5-6개 정도로 압축되고 있습니다. 국내 인증기관은 국내의 금융 및 상거래를 위해 존재한다고 생각 하시면 될 것입니다.
국내 공인인증기관이 마치 SSL웹서버 인증서를 자사가 발급하는 것처럼 광고하는 경우 모두 외국의 SSL 벤더를 통해 공급되는 것입니다.[위로] |
|
| |
SSL 인증 회사 선택시 중요한 점은 무엇입니까? |
| | 최근 일부 대행업체들의 경우 자사의 제품인것처럼 위장하면서 국제가를 기준으로 2~3배의 가격으로 판매하기도 합니다. 인증기관명과 국제 가격 검증이 필요합니다.
또한, 베리사인과 써트를 제외한 인증서 제품이 마치 모든 브라우저에서 128비트를 지원하는 것처럼 판매하고 있으나, 베리사인의 글로벌ID(IE4.0이상), 써트의 SSL수퍼서트(IE5.01이상) 만이 브라우저의 암호 강도가 40 혹은 56비트라 하더라도 SGC기능으로 128비트 통신이 가능합니다.
전세계적으로 코드사인 인증서라고 부르는 응용프로그램 인증서는 베리사인과 써트에서만 공급하고 있습니다. 베리사인의 경우, 미국 본사에 직접 신청해야 하며 문서공증 및 전화 인터뷰등 까다로운 절차를 영어로 진행해야 합니다. 써트코리아를 통하시면 동급의 응용프로그램인증서를 쉬운 과정으로 발급 받으실 수 있습니다.
인증서의 구매 결정기준은 1) 시장 점유율 및 네임밸류 2) 웹서버 및 웹브라우저 호환 정도 3) SGC 기술의 채택여부 및 SGC상의 지원브라우저 버전 4) 인증서 발급 사고시 보상책임 내역 5) 기술지원 정도 6) 부가 서비스 정도 입니다.[위로] |
|
| |
전자지불을 위해 SSL을 사용해야 합니까? |
| | 지불 및 금융업체는 자체적으로 금융거래를 위한 플러그인 프로그램을 제작하여 배포하고 있습니다. 이들은 신용카드나 거래이체를 위한 금융정보를 별도의 플러그인을 통해 암호화해서 통신을 합니다.
그러나, FORM 방식의 지불을 사용하는 경우, 모든 경우에서 SSL을 사용해야 합니다. 특히 SSL 연결방식이 아닌 이니시스나 KCP, Allat 등의 PG사의 경우 SSL이 필수적입니다. 또한, 회원 정보나 가입 정보 등은 그대로 웹상에 노출되게 됩니다. 이러한 정보가 노출되면 저장된 금융거래 내역이나 정보들도 자연 노출되게 되므로, 실제로 중요한것은 아이디를 포함한 고객의 개인정보라 할 수 있습니다.
이러한 데이터는 SSL을 통해서만 보안이 가능하며, 또한 외국인 대상의 서비스를 하는 경우 고객들에게 보다 신뢰를 줄 수 있는 보안 방법입니다.[위로] |
|
| |
PKI 암호툴킷과 SSL 인증서의 사용상 차이가 있습니까? |
| | PKI 암호화 툴은 말그대로 데이터를 암호화하는 기능을 하는 것이며, 별도의 프로그램을 웹서버와 브라우저에 별도로 설치하여 웹서버 인증서의 기능중 하나인 암호화 기능만을 대체하는 것에 불과합니다. 소프트포럼이나 이니텍 처럼 PKI 전문 암호툴킷을 사용하는 경우, 도입비용, 개발비용, 구축비용이 SSL 인증서보다 더 많이 들 수 있습니다.
웹서버 인증서는 인증기관에서 해당 사이트를 일반 사용자들이 믿고 방문하고 정보를 주고 받을 수 있게 실존하는 회사에서 만든, 거짓 사이트가 아님을 확인한 사이트라는 것을 알려주는 기능을 합니다. 물론 암호화(SSL) 기능에서도 Verisign과 Thawte의 웹서버 인증서는 세계적인 호환성을 가지고 있어 별도의 프로그램의 설치나 다운로드 없이 간단히 구현할 수 있습니다. [위로] |
|
| |
SSL과 방화벽, 침입탐지는 무엇이 다릅니까? |
| | SSL은 웹서버와 웹브라우저 사이의 정보를 암호화 함으로서 정보를 보호하는 것이며, 방화벽은 특정 네트웍을 보호하기 위해 필요한 서비스만을 열어두어 외부의 침입을 원천적으로 봉쇄하는 것입니다. 또한 침입탐지는 방화벽에 침입하는 외부 침입을 확인하여 필요한 경우 적절한 대응을 하기 위한 관제 서비스입니다.
따라서 SSL이 데이터의 보안에 관련된 것이라면 방화벽과 침입탐지는 서버와 네트웍의 보안에 관한 것입니다.[위로] |
|
| 위로
인증서 발급조회
