카자흐스탄이 모든 HTTPS 통신을 검열하기 시작했다
정부 발행 루트 인증서 설치 강요
최근 카자흐스탄 정부가 자국 ISP(Internet Service Provider, 통신사)들에게, 고객의 기기에 정부가 발행한 root certificate(루트 인증서)를 의무적으로 설치하도록 하라는 권고안을 발표했다. 카자흐스탄의 통신법은, 통신사에게 암호화된 https 트래픽을 모니터링할 의무를 규정하고 있다. 따라서 정부 발행 인증서를 사용하지 않는 https 트래픽은 차단할 모양이다.root certificate를 사용하면 다른 인증서를 발행할 수 있다. 특정 루트 인증서를 사용해 발행된 인증서는, 같은 루트 인증서가 설치된 기기에서 신뢰할 수 있는 것으로 간주된다. 따라서 루트 인증서를 이용해 임의의 도메인에 대한 인증서를 발행하면, 같은 루트 인증서가 있는 모든 기기의 해당 도메인과의 https 트래픽을 엿보거나 변조할 수 있다.
아래 그림(참1)은 페이스북 도메인에 대한 인증서를 비교한 것이다. 왼쪽은 정식 인증서로 DigiCert에서 발급한 것이다. 페이스북에 직접 접속하면 확인할 수 있다. 오른쪽은 카자흐스탄 정부에서 발행한 인증서로, Security Certificate라는 이름을 쓰고 있다.
중간자 공격(MITM attack)
카자흐스탄이 실제 어떤 방식을 사용하는지는 모르겠지만, 가장 간단한 시나리오는 다음과 같다. 통신사는 모든 https 트래픽이 특정 프록시 서버를 통과하도록 구성한다. 사용자가 페이스북에 접속하면 사실은 프록시 서버에 있는 복제 사이트를 보게 된다.복제 사이트는 정부 방침에 따라 security certificate라는 인증서를 갖고 있다. 이는 정부의 루트 인증서를 사용해 발행된 것으로, 운영체제나 브라우저에서 기본으로 신뢰하는 인증서가 아니므로, 인증서 오류를 유발한다. 그러나 정부가 발행한 루트 인증서를 설치한 사용자의 기기는, 같은 루트 인증서로 발행된 security certificate를 신뢰하게 된다. 결국 아무런 경고 없이 복제 사이트를 이용하게 되는 것이다. 전형적인 중간자 공격(MITM, man-in-the-middle)으로 합법적인(카자흐스탄에서는) 해킹이라 할 수 있다.
문제점
https 통신은 개인정보 보호에 좋은 수단이지만, 역으로 범죄자의 정보 보호에도 악용될 수 있다. 범죄자는 악성코드나 불법적인 내용을 비밀리에 전송할 수 있다. https 검열을 옹호하는 입장은 이를 반영한 것이다. 그러나 모든 국민의 통신 비밀 침해는 그 대가로는 너무 크다는 것이 대부분의 견해이다.이 외에도 세부적인 문제점을 야기한다. 카자흐스탄은 정부 인증서를 사용한 https 통신만을 허용하기 때문에, 정부의 루트 인증서를 설치하기 전에는 https 사이트에 접속할 수 없다. 따라서 이 루트 인증서를 다운로드하는 사이트는 일반 http 사이트일 수 밖에 없고, 해커의 중간자 공격에 의해 해커의 인증서로 바꿔치기될 수 있다는 우려가 있다. 이렇게 되면 정부 대신에 해커에게 도청당하게 된다. 그러나 이 문제는, 인증서 다운로드 사이트를 white list(허용 목록)에 올리는 방식으로 간단히 해결할 수 있다고 생각한다.
카자흐스탄의 통신사들이, 자신이 발행한 사설 루트 인증서(custom CA root certificate)를 설치하는 것이 보안을 강화하는 방법이라고 홍보하고 있다고 한다. 물론 잘못된 것이다. 루트 인증서는 엄격히 제한적으로 관리돼야 함은 당연한 이치다. 루트 인증서를 잘못 관리하면 해킹에 취약한 상태가 된다(관1).
통신사들이 임의적으로 광고나 추적 스크립트를 삽입할 가능성이 있다는 점도 지적됐다.
카자흐스탄의 이런 문제적인 인증서를 어떻게 처리할지를 두고, 운영체제와 브라우저 회사들에서 논의되고 있다. 신뢰할 수 없는 인증서로 표시해서 경고가 뜨게 할 수도 있다.
관련 자료
참고 자료
댓글
댓글 쓰기