온라인 개인정보 보호는 더 이상 단순히 남의 시선을 피하는 것만을 의미하지 않습니다. 웹 암호화는 개인정보를 보호하는 데 핵심적인 역할을 하며 끊임없이 변화하고 있습니다.
한때 로그인 및 결제 페이지에만 사용되던 전송 계층 보안(TLS)과 같은 암호화 프로토콜은 최근 그 중요성이 커지면서, 엔드포인트를 인증하고 기밀을 유지한 채 통신할 수 있는 수단을 제공하고 있습니다. 지난 2년 동안 TLS 표준도 업데이트되었습니다. 브라우저는 곧 TLS 1.0 및 1.1과 같이 오래되고 취약한 프로토콜 구현을 차단할 예정입니다. 오늘날에도 널리 사용되는 안전하지 않은 프로토콜을 보호하기 위한 새로운 프로토콜도 도입되고 있습니다.
기업이 이러한 변화에 발맞추는 데 어려움을 겪을 수 있다는 점은 쉽게 이해할 수 있습니다. 예를 들어 지난해 초, 보안 연구원들은 새롭게 부상하는 도메인 네임 시스템 암호화 프로토콜인 DNS-over-HTTPS(DoH)를 활용한 최초의 악성코드 샘플을 발견했습니다.
TLS 환경은 예전과 달라졌으며, 조직은 웹사이트가 수명 주기 전반에 걸쳐 안전하게 배포되고 유지관리되도록 최신 동향을 지속적으로 파악해야 합니다.
변화에 발맞추기
대체로 기업들은 새로운 TLS 업데이트가 제공할 수 있는 이점을 이해하고 있으며 변화에도 수용적인 태도를 보입니다. 예를 들어, F5 Labs의 최신 TLS 텔레메트리 보고서에 따르면 Alexa 상위 100만 개 사이트 중 거의 3분의 1이 TLS 1.3 연결을 허용하고 있었습니다. 여러 측면에서 이는 비즈니스 관점에서도 합리적입니다. 대부분의 주요 웹 브라우저가 이미 새로운 표준을 지원하고 있으며, 이 표준은 다양한 보안 및 성능상의 이점을 제공합니다.
하지만 아직 모든 사람이 최신 TLS를 도입할 수 있는 것은 아닙니다.
이 경우 기업은 RSA 키 교환을 지원하는 암호화 스위트를 제거하여 RSA 키 교환을 완전히 비활성화하는 방안을 고려해야 합니다. F5의 연구에 따르면, 보안 연구자들이 여전히 RSA를 공격할 방법을 찾아내고 있음에도 전 세계에서 가장 인기 있는 웹사이트 중 3분의 1 이상이 여전히 RSA를 선호하는 암호화 알고리즘으로 제공하고 있습니다. 여기에는 TLS 서버의 개인 키를 이용해 RSA 복호화 및 서명 작업을 수행할 수 있게 하는 19년 된 ROBOT 취약점도 포함됩니다. F5 Labs의 연구에 따르면 전 세계 상위 사이트 중 2%가 조금 넘는 사이트가 여전히 이 취약점을 이용한 공격에 노출되어 있을 가능성이 있습니다.
다른 소프트웨어와 마찬가지로 TLS 라이브러리에서도 보안 연구자들이 취약점을 발견하는 경우가 많습니다. 따라서 조직은 웹 서버, 로드 밸런서 또는 애플리케이션 전송 컨트롤러의 TLS 스택에 업데이트가 있을 때 알림을 받을 수 있도록 해야 합니다. 신속한 패치 적용을 위한 정책도 매우 중요합니다.
또한 모든 인증 기관(CA)은 웹상의 어떤 도메인에 대해서도 인증서를 발급할 수 있다는 점에 유의해야 합니다. 따라서 잘 알려져 있고 신뢰할 수 있는 인증 기관 두세 곳에만 권한을 부여하는 것이 바람직합니다. 이는 DNS 인증 기관 인증(CAA) 레코드를 생성하여 구현할 수 있습니다. 또한 웹 앱에 HTTP 엄격한 전송 보안(HSTS) 헤더를 적용하면 브라우저가 항상 HTTPS를 통해서만 사이트를 안전하게 로드하려고 하므로 보안 계층을 한층 강화할 수 있습니다. 이는 안전하지 않은 페이지를 강제로 로드하여 공격자가 네트워크 트래픽을 엿보거나 변조하고 리디렉션할 수 있게 하는 네트워크 공격을 방지하는 데 도움이 되는 중요한 조치입니다.
DNS CAA 레코드는 유효한 도메인에 인증서가 잘못 발급되는 것을 방지하기 위해 만들어졌지만, 사기범이 mybank.com과 같은 기존 도메인의 인증서를 발급받으려 시도하는 경우는 드뭅니다. 대신 이들은 mybank.attacker.com처럼 자신이 소유한 도메인에 ‘mybank’라는 브랜드명을 하위 도메인으로 사용하여 인증서를 발급받습니다.
다행히도 어떤 인증 기관(CA)에서든 인증서가 생성될 때마다 전 세계에 분산된 데이터베이스인 인증서 투명성(CT) 로그에 기록됩니다. CT 로그를 모니터링하면 위협 행위자가 도메인이나 브랜드를 사칭할 때 이를 효과적으로 탐지하고 알림을 받을 수 있습니다.
이제 HTTPS가 보편화되면서 관리해야 할 암호화 알고리즘, 키, 인증서도 늘어났습니다. 여기에 DevOps 방법론의 도입이 확대되면서 변화와 배포 속도도 계속 빨라지고 있습니다.
보안 도구와 테스트가 자동화 도구 체인에 통합되고 있는 것처럼 HTTPS 구성도 자동화되어야 합니다. 이를 위해서는 디지털 인증서 생성을 체계적으로 조율하고, 최소 키 길이와 암호화 스위트 등의 표준을 규정하는 내부 정책을 수립해야 합니다. 이러한 자동화는 만료 예정인 인증서를 관리하는 데도 도움이 되며, 서비스 중단이 발생하기 전에 인증서를 자동으로 갱신합니다.
TLS 보안 공백에 유의하기
안타깝게도 TLS가 올바르게 배포된 경우에도 개인정보 보호 및 보안상의 허점이 여전히 많이 존재합니다. DNS-over-HTTPS(DoH)와 같은 프로토콜은 이러한 허점을 해소하기 위해 등장하고 있으며, 웹 사용자의 개인정보 보호를 강화하는 한편 기업 보안 팀이 악성 트래픽을 식별하고 차단하기 어렵게 만들 수도 있습니다. 경우에 따라 기업 네트워크에서 DoH를 비활성화하거나 사용자를 위한 내부 DoH 서비스를 배포해야 할 수 있습니다. 이러한 서비스는 웹 프록시와 연동되어 원치 않는 트래픽을 필터링하는 데 도움이 됩니다.
결국 아무리 완벽하게 TLS를 구축하더라도 클라이언트 측 멀웨어가 악성 코드를 삽입하거나 서드 파티 스크립트로 인해 보안이 침해되는 것을 막을 수는 없습니다. 따라서 HTTPS의 한계와 어떤 보안 공백이 존재하는지 파악할 것을 항상 권장합니다.
한 가지 분명한 사실은 암호화 기술이 끊임없이 발전한다는 것입니다. 키 길이는 늘어나고, 인증서 발급 및 관리가 자동화되며, 정부는 규제를 강화하고, 새로운 프로토콜이 등장하고 있습니다. 이러한 지속적인 변화는 많은 조직과 그 고객에게 새로운 차원의 위험을 초래합니다. TLS를 제대로 구축하지 않으면 해커, 규제 기관, 사이버 보안 보험사의 눈을 피할 수 없으며, 조직의 나머지 인프라 전반에 대해서도 심각한 의문이 제기될 수 있습니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.