주소창에 자물쇠가 떠 있으면 안전한 사이트인가요: HTTPS가 보증하는 것과 보증하지 않는 것

자물쇠를 보고 로그인했는데, 뭐가 문제였을까요

낯선 링크를 열었을 때 주소창에 자물쇠가 떠 있으면 마음이 조금 놓이죠. 아시죠 그 느낌? 근데 말이죠, '자물쇠가 있으니 안전한 사이트'라는 생각이 바로 여기서 어긋나요. 자물쇠는 사이트가 착한지 나쁜지를 판정해 주는 도장이 아니라서, 자물쇠만 믿고 아이디와 비밀번호를 넣었다가 낭패를 보는 일이 현장에서 흔히 보이는 패턴이에요. 이 글은 자물쇠가 실제로 확인해 주는 두 가지와 확인해 주지 않는 것들을 갈라서, 어떤 순서로 보면 되는지까지 정리해 드릴게요.

먼저 이름부터 정리할게요. 주소가 http로 시작하는 사이트는 내 브라우저와 사이트 사이를 오가는 내용이 그대로 흘러가요. 주소가 https로 시작하는 사이트는 그 내용을 암호화된 통로로 감싸서 보내고요. 브라우저가 이 https 연결이 제대로 맺어졌다고 판단했을 때 보여 주는 표시가 자물쇠예요. 브라우저에 따라 자물쇠 대신 다른 모양의 아이콘을 쓰기도 해서, 아이콘 모양보다는 주소가 https로 시작하는지와 경고 화면이 없는지를 기준으로 보시면 돼요.

이게 왜 중요하냐면요, 자물쇠가 무엇을 확인하는지 알면 반대로 무엇을 확인하지 않는지도 보이거든요. 그 빈칸을 내가 채우면 되니까, 자물쇠는 불안의 근거가 아니라 판단의 출발점이 돼요.

자물쇠가 확인해 주는 두 가지: 통로와 주소

첫 번째는 통로예요. https 연결이 맺어지면 내가 입력한 비밀번호, 결제 정보, 읽고 있는 페이지 내용이 암호화되어 오가요. 같은 와이파이에 있는 다른 사람이나 중간 통신 구간에서 그 내용을 그대로 읽을 수 없다는 뜻이에요. 편지를 봉투에 넣어 봉인한 것과 비슷해서, 배달 경로에 있는 누군가가 봉투를 들여다봐도 내용은 알 수 없어요. 카페 와이파이에서 자물쇠 있는 사이트만 쓰라는 조언이 여기서 나와요.

두 번째는 주소예요. 이 부분이 많이들 놓치시는 지점인데, 자물쇠는 '지금 연결된 상대가 주소창에 적힌 바로 그 주소의 운영자'라는 것도 확인해 줘요. 이 확인을 맡는 것이 인증서예요. 사이트 운영자는 자신이 그 주소를 실제로 관리한다는 것을 인증기관이라고 부르는 제3의 기관에 입증하고 인증서를 받아요. 브라우저는 미리 신뢰하기로 정해 둔 인증기관 목록을 갖고 있어서, 사이트가 내민 인증서가 그 목록의 기관에서 나왔고 주소가 일치하면 자물쇠를 띄워 줘요.

그러니까 자물쇠 한 개에는 사실 두 가지 확인이 들어 있어요. 봉투가 봉인되어 있다는 것과, 봉투에 적힌 받는 사람 주소가 진짜 그 주소라는 것. 인증·인가·암호화를 다룬 글에서 '누구인지 확인하는 일'과 '내용을 감싸는 일'이 서로 다른 역할이라고 했는데, 자물쇠는 그 두 역할이 한 화면에서 만나는 좋은 예예요.

자물쇠가 확인해 주지 않는 것: 사이트의 정직함

자물쇠는 사이트의 정직함, 그리고 사이트 안에서 내 정보를 잘 지키는지에 대해서는 아무 말도 하지 않아요. 인증서는 '이 주소를 관리하는 사람이 맞다'는 것만 확인하는 문서라서, 주소를 새로 등록한 사람이라면 누구든 자기 주소로 인증서를 받을 수 있어요. 목적이 무엇이든 상관없이요. 그래서 진짜 사이트와 철자 한두 글자만 다른 주소를 만들어 둔 곳에도 자물쇠는 똑같이 떠요.

여기서 자물쇠의 역할이 분명해져요. 자물쇠는 '주소창에 적힌 주소와 연결되어 있다'는 것까지만 책임지고, 그 주소가 내가 가려던 곳이 맞는지는 내가 봐야 해요. 피싱 문자의 링크가 자물쇠 있는 페이지로 열리는 것이 이상한 일이 아닌 이유예요. 피싱의 구조를 다룬 글에서 '주소를 보는 습관'을 강조한 것과 이 글이 만나는 지점이 바로 여기예요.

아, 그리고 하나 더. 통로가 안전하다는 것과 도착지가 안전하다는 것은 별개예요. 내 정보가 암호화되어 무사히 도착해도, 사이트가 그 정보를 어떻게 보관하고 누구에게 접근을 허용하는지는 자물쇠가 관여하지 않는 영역이에요. 개인정보 유출 통지를 받는 상황은 대개 통로가 아니라 도착지에서 생기는 문제라서, 자물쇠가 있는 사이트에서도 비밀번호 재사용을 피하고 2단계 인증을 켜 두는 습관은 그대로 필요해요.

인증서 종류에 따라 조직 이름이 함께 담기는 것도 있고 주소만 담기는 것도 있는데, 브라우저가 이를 표시하는 방식은 시기마다 달라져 왔어요. 그래서 '회사 이름이 보이느냐'보다는 '주소가 내가 아는 그 주소냐'를 기준으로 삼는 편이 오래 가는 기준이에요.

경고 화면이 떴을 때: 이유별로 갈라서 보기

자물쇠 대신 빨간 경고 화면이 뜨면 일단 멈추게 되는데, 경고에도 종류가 있어서 이유를 보면 대처가 달라져요. 브라우저가 보여 주는 문구는 조금씩 다르지만 큰 갈래는 아래 네 가지로 나뉘어요. 공통 원칙은 하나예요. 어떤 경고든 그 화면에서 로그인이나 결제 정보를 넣지는 않는다는 거예요.

• 기간이 지났다는 경고 — 인증서에는 유효 기간이 있어서 운영자가 갱신을 놓치면 뜨는 경고예요. 대개 운영자의 관리 문제라 정보를 읽기만 하는 정도는 큰 위험이 아닐 수 있지만, 로그인·결제는 정상으로 돌아온 뒤에 하시면 돼요.
• 주소가 다르다는 경고 — 사이트가 내민 인증서의 주소와 내가 접속한 주소가 일치하지 않는다는 뜻이에요. 네 가지 중 가장 신중해야 하는 경우라서, 이 경고에서는 진행하지 않고 즐겨찾기나 공식 앱으로 다시 들어가는 편이 안심돼요.
• 발급처를 알 수 없다는 경고 — 브라우저가 신뢰하는 인증기관 목록에 없는 곳에서 나온 인증서예요. 회사 내부 시스템이나 집 공유기 관리 화면처럼 안내를 받고 들어간 내부 장비라면 그럴 수 있지만, 일반 공개 사이트에서 이 경고가 뜨면 진행하지 않는 것이 원칙이에요.
• 일부 내용이 암호화되지 않았다는 경고 — 페이지 자체는 https인데 안에 실린 이미지나 스크립트 일부가 http로 불러와진 경우예요. 읽기만 한다면 괜찮은 편이지만, 그 페이지에 로그인 칸이 있다면 미루는 쪽이 좋아요.

정리: 자물쇠 다음에 볼 것 한 가지

평소에 잘 열리던 사이트에서 갑자기 경고가 뜬다면, 사이트보다 지금 붙어 있는 네트워크를 먼저 의심해 보셔도 좋아요. 공용 와이파이에서만 경고가 뜬다면 그 네트워크에서는 진행하지 않고, 데이터 연결로 바꾸거나 VPN을 켠 뒤 다시 열어 보는 순서가 안전해요. VPN이 지키는 구간을 다룬 글과 이어지는 이야기예요.

이제 이렇게 하시면 돼요. 첫째, 주소가 https로 시작하고 경고가 없는지 봐요. 둘째, 주소 철자가 내가 아는 그 주소인지 봐요. 셋째, 로그인이나 결제처럼 중요한 순간에는 자물쇠를 눌러 인증서에 적힌 주소가 주소창과 같은지 한 번 더 확인해요. 넷째, 조금이라도 이상하면 그 링크로 계속 가지 않고 즐겨찾기나 공식 앱으로 다시 들어가요. 순서로 익혀 두면 매번 고민할 필요 없이 몇 초면 끝나요.

자물쇠가 확인해 주는 것과 내가 확인해야 하는 것을 나눠 두면, 자물쇠는 불안의 근거가 아니라 든든한 첫 관문이 돼요. 통로는 브라우저가 지켜 주고, 주소는 내가 보고, 도착지의 보안은 비밀번호와 2단계 인증 습관이 맡는 식으로 역할이 나뉘어 있다는 걸 알고 나면, 낯선 링크 앞에서도 무엇을 보면 되는지 알기 때문에 훨씬 차분해져요. 그 차분함이 이 글에서 가져가실 가장 큰 이점이에요.