21장 HTTPS와 사이트 정보 읽기

HTTPS는 브라우저와 해당 서버 사이의 통신을 암호화하고 인증서를 통해 연결 대상을 확인하는 장치다. 전송 중 도청과 변조 위험을 낮추지만, 그 사이트의 상품이나 말이 정직하다는 보증은 아니다. 피싱 사이트도 자신의 도메인에 유효한 HTTPS를 사용할 수 있다.

주소 왼쪽 사이트 정보 아이콘을 누르면 연결 보안과 권한을 확인할 수 있다. ‘안전하지 않음’ 경고가 보이는 페이지에서 비밀번호나 결제 정보를 입력하지 않는다. 인증서 오류를 무시하고 진행하라는 사내 안내를 받았다면 담당 부서와 오류의 정확한 이유를 확인한다. 날짜가 크게 틀린 컴퓨터도 인증서 오류를 만들 수 있다.

주소를 판단할 때는 `https` 여부와 함께 등록 도메인을 읽는다. `bank.example.com.attacker.test`의 주체는 `attacker.test`다. 국제화 도메인은 비슷한 글자 모양을 악용할 수 있으므로 메일의 링크보다 직접 저장한 북마크나 공식 앱에서 시작하는 편이 안전하다.

공용 와이파이에서는 HTTPS가 있어도 가짜 로그인 포털, 잘못 연결한 이름, 주변 사람의 화면 엿보기 같은 위험이 남는다. 운영체제와 Chrome을 최신으로 유지하고, 중요한 작업은 신뢰할 수 있는 네트워크나 별도 연결에서 한다. 경고 화면은 귀찮은 장애물이 아니라 판단을 멈추라는 신호다.