지디넷코리아

(지디넷코리아=손경호 기자)구글이 제공하는 웹브라우저인 크롬에서 앞으로 약 1년 뒤인 2017년 1월1일부터는 SHA1 암호화 알고리즘을 쓸 수 없게된다. HTTPS로 대표되는 암호화 통신방식을 지원하는 웹사이트들 중 SHA1을 쓰는 웹사이트에 대해서는 더이상 접속이 불가능해진다는 뜻이다. 이에 따라 구글은 내년부터 2단계 계획을 통해 SHA1을 완전히 퇴출시킨다는 방침이다.

당초 이 회사는 올해 1분기에 배포된 크롬41버전에서부터 이런 정책을 적용할 계획이었으나 호환성 등을 이유로 시점을 미뤄왔다.

이미 마이크로소프트(MS)는 10일 자사 개발자 블로그를 통해 당초 예정보다 6개월 빠른 2016년 6월부터 SHA1 인증서를 폐기할 계획이라고 밝힌 바 있다. 모질라 역시 같은 이유로 파이어폭스 웹브라우저에서 SHA1 사용금지시점을 2016년 7월 1일로 앞당겼다. 구글은 아직까지 2017년부터 SHA1을 퇴출하겠다는 방침을 변경하지 않고 있다.

SHA1은 웹브라우저와 웹사이트 사이에 안전한 통신을 지원하기 위해 사용되는 암호화 알고리즘 중 하나다. 문제는 컴퓨팅 속도가 발전하면서 SHA1으로 만든 해시값(메시지를 암호화한 값)을 알아내는데 드는 시간과 비용이 점점 줄어들고 있다는 점이다. 현재 아마존 EC2 클라우드 컴퓨팅 자원을 임대해서 약 한달 간 연산작업을 수행하면 7만5천~12만달러 선에서 SHA1으로 암호화된 내용을 파악할 수 있는 것으로 분석된다.(관련링크)

인증기관과 웹브라우저들 간 협의체인 CAB포럼은 2011년에 SSL을 사용하기 위한 기본요구사항을 공개하면서 이미 SHA1은 필수적으로 사라지게 될 것이라고 밝힌 바 있다.

구글은 SHA1 퇴출을 위해 2단계 조치를 취할 예정이다. 먼저 현재 베타버전인 크롬48이 정식 배포되는 2016년 1월 말부터 해당 브라우저에서는 새로 발급되는 SHA1 인증서를 차단한다. 해당 인증서를 적용한 웹사이트에 접속시 '인증서 에러(certificate error)' 메시지를 출력한다는 계획이다.

다음으로 구글은 2017년 1월1일부터는 새로 발급된 SHA1 인증서 외에 기존에 발급된 인증서들에 대해서도 크롬에서 완전히 지원을 중단한다. 만약 접속하려는 웹사이트가 SHA1을 사용해 전자서명한 인증서를 갖고 있다면 네트워크 에러가 발생할 수 있다는 설명이다.

구글은 보안블로그를 통해 웹사이트 운영자들이 다른 웹브라우저들의 변화에 대해서도 호환될 수 있도록 RC4를 지원하지 않는 SHA2(SHA256)으로 암호화한 인증서를 적용해야하며, TLS1.2를 지원하는 ECDHE_RSA_WITH_AES_GCM 방식을 추천하고 있다.

→ 한 뼘 더 깊은 IT 보고서 ‘리소스 라이브러리’ 에서 만나보세요!

손경호 기자(sontech@zdnet.co.kr)

▶ IT 세상을 바꾸는 힘 <지디넷코리아>
▶ IT뉴스는 <지디넷코리아>, 글로벌 IT뉴스는 <씨넷코리아>, 게임트렌드는 <뉴스앤게임>
▶ 스마트폰으로 읽는 실시간 IT뉴스 <모바일지디넷>
[저작권자ⓒ메가뉴스 & ZDNet & CNET. 무단전재 및 재배포 금지]