브라우저에서 눈에 띄던 EV 인증서 표시가 사라지면서 웹사이트 운영자의 신원을 방문자가 확인하기 어려워졌다. EU의 새 인증서 표준과 AI 에이전트가 이 정보를 다시 활용할 수 있지만, 그것만으로 인터넷 사기가 사라지는 것은 아니다.
EV 인증서는 기업의 법적 실체를 확인하는 절차를 거쳐 발급되며, 한때 크롬과 파이어폭스 등은 주소창에 회사 이름을 표시했다. 하지만 연구 결과, 표시를 바꾸거나 없애도 사용자의 보안 판단은 거의 달라지지 않았다. 크롬은 Chrome 77에서 EV 정보를 주소창 밖으로 옮겼고, 사파리는 2018년, 파이어폭스는 2019년에 표시를 축소했다.
브라우저에 회사 이름만 보여주는 방식의 한계도 드러났다. 보안 연구자 이안 캐럴(Ian Carroll)은 2017년 켄터키주에 Stripe, Inc.를 설립하고 적법한 EV 인증서를 발급받았다. 델라웨어주에 설립된 잘 알려진 Stripe와는 별개 회사였지만, 브라우저에는 두 회사 모두 “Stripe, Inc.”로 표시될 수 있었다. 인증서에는 등록 주 등 구분 정보가 들어갈 수 있었지만, 주소창의 제한된 표시 공간에는 그 정보가 나타나지 않았다. 모질라는 이런 이름 충돌 사례를 EV 표시를 클릭해야 볼 수 있는 정보로 옮긴 이유 중 하나로 들었다.
한편 비영리단체 Internet Security Research Group(ISRG)의 Let’s Encrypt는 웹사이트에 기본 도메인 검증(DV) 인증서를 무료로 제공하고 자동 갱신을 지원해 HTTPS 사용을 늘렸다. Let’s Encrypt의 10주년 자료는 파이어폭스 기반 측정에서 전 세계 HTTPS 사용률이 대략 5년 동안 30% 미만에서 약 80%로 증가했다고 설명한다. 다만 Let’s Encrypt는 조직 검증(OV)이나 확장 검증(EV) 인증서를 발급하지 않는다. 브라우저에서 EV 표시가 눈에 띄지 않게 되자 일반 방문자를 안심시키기 위해 추가 비용을 낼 이유도 사실상 줄었다.
DV 인증서를 받은 정상 웹사이트와 피싱 사이트는 모두 TLS 암호화 검사를 통과하고 같은 자물쇠 표시를 받을 수 있다. 크롬은 2021년 연구에서 참여자의 11%만 자물쇠 아이콘의 정확한 의미를 이해했다고 밝혔고, 피싱 사이트 대부분도 HTTPS를 사용한다고 설명했다. 이에 크롬은 주소창의 자물쇠 표시를 설정 아이콘으로 바꿨다.
EU의 적격 웹사이트 인증서(QWAC)는 검증된 사업자 신원 정보를 웹 브라우징에 다시 도입하려는 기반이다. 원문은 2027년 1월부터 브라우저가 이를 지원해야 한다고 설명한다. EV와 달리 이 방식은 EU의 규제된 신뢰 체계에 기반하며, ‘2-QWAC’ 접근법에서는 신원 정보가 웹사이트의 일반 TLS 인증서와 암호학적으로 연결된 별도 인증서에 담긴다. 따라서 웹사이트는 기존 HTTPS 설정과 무료 Let’s Encrypt 인증서를 유지하면서 신원 정보를 선택적으로 더할 수 있다.
원문은 AI 에이전트가 인증서의 신원 정보를 방문 때마다 확인하고, 신뢰할 수 있는 기록과 대조할 수 있다는 가능성을 제시한다. 예를 들어 두 Stripe 사례처럼 인증서의 등록 지역이 사용자가 거래하려는 업체의 정보와 다른지 살펴볼 수 있다. 이는 사기를 막아준다는 뜻은 아니지만, 에이전트가 웹사이트의 평판 등 다른 신호와 함께 판단할 추가 근거가 될 수 있다. 이런 활용이 실제로 정착할지는 확정되지 않았으며, 검증된 신원 정보의 도입만으로 온라인 사기가 근절되는 것도 아니다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요