SSL발급 가능 계정 관리와 관리자 이메일 계정 탈취 주의

[보안뉴스 민세아] SSL 인증을 위한 메일을 공격자가 열람하거나 인가되지 않은 사용자가 메일을 받을 경우 SSL 인증서를 가로채거나 위·변조할 수 있어 사용자들의 주의가 요구되고 있다.

SSL 인증서 발급기관은 인증서 발급을 위해 ‘이메일 인증’을 지원한다. SSL 인증서 발급기관은 이메일 인증을 사용할 수 있는 관리자용 이메일 계정을 특정 계정으로 제한해 인증을 제공하고 있다.

발급기관에서는 발급 대상 기관을 확인하기 위해 이메일 계정과 도메인 주소를 확인하는데, 인증서 발급기관마다 허용하고 있는 이메일 계정은 조금씩 다르지만 주로 사용되는 계정은 admin, administrator, webmaster, hostmaster, postmaster,root, ssladmin, info, is, it, mis, ssladministrator, sslwebmaster 등의 계정이다.

그런데 만약 인증서 발급기관에서 허용한 관리자용 이메일 주소를 공격자에게 탈취당하거나 또는 악의를 가진 사용자에게 실수로 발급할 경우 SSL 인증서 발급을 통해 사용자 모르게 HTTPS 통신 데이터의 내용을 변조하거나 도청할 수 있다.

이를 해결하기 위해 이메일 계정을 생성하는 관리자는 SSL 인증서 발급기관이 허용한 특정 이메일 계정의 생성을 제한해야 한다. 이미 일반 사용자에게 해당 계정이 생성되어 있을 경우 계정에 대한 비활성화를 권고하고 있다.

SSL 인증서 발급 가능한 관리자 계정은 아래의 참고사이트를 확인하거나 기타 문의사항은 한국인터넷진흥원 인터넷침해대응센터(국번없이 118)에 문의하면 된다.

[참고사이트]

1. http://www.kb.cert.org/vuls/id/591120

2. COMODO(Root CA)의 인증서 발급을 위한 메일 계정

https://support.comodo.com/index.php?/Default/Knowledgebase/Article/View/791/16/alternative-methods-of-domain-control-validation-dcv

3. BUYhttp(SSL 리셀러)의 인증서 발급을 위한 메일 계정 

http://account.buyhttp.com/knowledgebase/753/Which-email-address-can-approve-SSL-certificate-order.html

[용어 정리]

SSL(Secure Socket Layer) 인증서 : HTTPS 등 암호화된 통신을 위해 인증기관이 발급해주는 디지털 인증서

[민세아 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>