안녕하세요 한국정보인증입니다. 

시만텍의 부정발급 이슈로 인한 웹 브라우저(Chrome, FireFox)의 시만텍 브랜드(Symantec, Thawte, Geotrust, Rapidssl) 비신뢰 이슈에 대해 안내드립니다.

1. 브라우저社 별 시만텍 인증서 비신뢰 일정

  - Google Chrome

  - Mozilla Firefox

2. 왜 브라우저社는 시만텍을 비신뢰 하는가?

  - 1차 부정발급

   2015년 9월 시만텍은 내부 테스트용으로 google.com 도메인의 SSL 인증서를 구글 동의없이 임의로 발급하였고, 이 인증서가 외부로 유출되는 사고가 일어남.

   하지만 구글이 조사한 결과, 그 동안 2,458개의 정보 미확인 인증서를 발급한 사실이 추가 발견됨.

   따라서, 구글은 부정발급에 대한 제재조치로 2016년 6월 1일부터 발급된 모든 시만텍 인증서에 인증서 투명성 정보(Certificate Transparency) 기능을 넣을 것을 강제하였으며(Symantec 외 다른 CA 기관들은 오직 EV 인증서에 한 해 CT 기능을 제공하고 있음), 더 이상 구글의 제품에서 시만텍의 “Class 3 Public Primary CA” 최상위 인증서를 신뢰하지 않기로 함.
？

  - 2차 부정발급

   2010년 1월부터 2017년 1월까지, 시만텍의 파트너 RA인 한국전자인증은 RA로서 보유한 인증서 발급권한을 사용하여 불명확한 웹사이트 도메인(example.com, testexample.com, test1.com 등)에 대해 시만텍 SSL 인증서 127개를 비정상적인 절차로 부정 발급 함.

   본 부정발급을 허용한 시만텍은 사건 수습을 위해 모든 인증서에 대한 인증심사 재검수를 진행해야 했으며, 2017년 2월 12일, 시만텍은 결국 ‘Partner RA Program’을 해지하기로 결정하여 한국전자인증 및 모든 시만텍 RA들은 RA 권한을 해지 당함. 

   추가 조사 결과, 이외에 약 3만개가 넘는 인증서가 부적절하게 발급된 것으로 확인됨. 

   구글과 모질라는 시만텍 SSL 인증서 발급 프로세스에 불만을 표시하여 더 이상 Chrome과 Firefox에서 시만텍 인증서를 신뢰하지 않겠다고 밝힘.？

？

3. 시만텍, 웹인증서 사업 매각

  시만텍은 2015년 인증서 부정발급 발생 시, 더 이상 동일한 부정발급이 일어나지 않게 하겠다는 공식사과를 함.
  그러나 이후 동일한 부정발급이 구글과 파이어폭스 조사단을 통해 확인되었고 구글과 모질라는 이에 대해 강한 컴플레인 제기와 함께, 시만텍 인증서를 신뢰할 수 없다는 강경 조치까지 취하게 됨.
  본 결정에 Safari등 다른 브라우저들도 동참하여 시만텍 인증서 비신뢰 조치가 진행되고 있으며, 기존 시만텍 인증서 사용자들은 브라우저의 비신뢰 일정에 맞추어 사전에 인증서 재발급 일정이나 새로운 루트로 전환됨에 따른 호환성 이슈를 준비해야 함.
  구글, 모질라 등 브라우저 社들의 압박과 실추된 신뢰로, 결국 시만텍은 웹인증서 사업부문을 디지서트에 매각함.

？