https://groups.google.com/a/chromium.org/forum/#!msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ
세계 최대 규모의 SSL 인증서 발급 업체이자 백신을 비롯한 각종 보안관련 제품도 많이 팔고 있는
시만텍(Symantec)의 인증서를 구글에서 더이상 신뢰하지 않겠다는 얘기가 나오고 있습니다.
인증서 발급 업체들과 브라우저 개발 업체들이 합의한 보안 기준에 맞지 않는 인증서가
지난 수 년간 3만 개 이상 공공연하게 유통되었다는 얘기가 나오고 있는데요...
구글 측의 주장일 뿐인지, 시만텍 측에서 정말로 인증서 부정 발급을 숨기고 있는지는 모르겠습니다.
시만텍 본사뿐 아니라 GeoTrust, Thawte, Verisign 등 자회사를 통해 구입한 인증서도 모두 해당될 수 있습니다.
특히 GeoTrust에서 판매하는 RapidSSL은 유료 인증서 중에는 저렴한 편이라
국내 개인 사용자 중에도 구입하신 분이 꽤 있을 것으로 생각됩니다.
XE 공홈도 Thawte를 사용하고 있고, 국내 시중은행들 중에도 Verisign 인증서를 쓰는 곳이 있어서
크롬에서 시만텍 계열사를 모두 신뢰하지 않겠다고 할 경우
작년에 StartSSL이 추방되었을 때와는 비교할 수 없는 규모의 후폭풍이 우려됩니다.
현재 전세계적으로 사용되고 있는 SSL 인증서의 30~40%가 시만텍 계열사 제품이라고 하는데... ㄷㄷㄷ
물론 구글에서도 호환성에 신경을 써야 하기 때문에 당장 에러가 나는 것은 아니고
올 연말까지 단계적으로 조치해 나갈 예정이라고 하네요.
파이어폭스, IE/엣지, 사파리 등 다른 브라우저들과도 보조를 맞춰야 하니까요.
그러나 만약 지금 시만텍 계열사의 SSL 인증서를 사용하고 계시거나 새로 구입하실 예정이라면
크롬에서 언제까지 신뢰될지 잘 따져보시는 것이 좋겠습니다.
소규모 사이트라면 Comodo PositiveSSL이 가장 저렴한 대안인데 (해외 최저가 기준 3년에 15달러 이하)
여기도 몇 년 전에 심각한 보안 사고가 있었지만 최근에는 그나마 조용합니다.
무료 인증서는 StartSSL이 더이상 신뢰되지 않기 때문에 이제 쓸만한 것은 Let's Encrypt밖에 없습니다.
여기는 세팅이 다소 복잡하고 3개월마다 갱신해야 한다는 단점이 있지만,
인증서 하나에 도메인과 서브도메인을 최대 100개까지 연결할 수 있다는 장점이 있습니다.
여러 도메인을 사용하더라도 포트를 따로 쓰거나 IE 구버전 호환성을 포기할 필요가 없는 거죠.
