구글 크롬, 내년 SHA1 암호화 기술과 완전 결별

구글이 제공하는 웹브라우저인 크롬에서 앞으로 약 1년 뒤인 2017년 1월1일부터는 SHA1 암호화 알고리즘을 쓸 수 없게된다. HTTPS로 대표되는 암호화 통신방식을 지원하는 웹사이트들 중 SHA1을 쓰는 웹사이트에 대해서는 더이상 접속이 불가능해진다는 뜻이다. 이에 따라 구글은 내년부터 2단계 계획을 통해 SHA1을 완전히 퇴출시킨다는 방침이다.

당초 이 회사는 올해 1분기에 배포된 크롬41버전에서부터 이런 정책을 적용할 계획이었으나 호환성 등을 이유로 시점을 미뤄왔다.

이미 마이크로소프트(MS)는 10일 자사 개발자 블로그를 통해 당초 예정보다 6개월 빠른 2016년 6월부터 SHA1 인증서를 폐기할 계획이라고 밝힌 바 있다. 모질라 역시 같은 이유로 파이어폭스 웹브라우저에서 SHA1 사용금지시점을 2016년 7월 1일로 앞당겼다. 구글은 아직까지 2017년부터 SHA1을 퇴출하겠다는 방침을 변경하지 않고 있다.

SHA1은 웹브라우저와 웹사이트 사이에 안전한 통신을 지원하기 위해 사용되는 암호화 알고리즘 중 하나다. 문제는 컴퓨팅 속도가 발전하면서 SHA1으로 만든 해시값(메시지를 암호화한 값)을 알아내는데 드는 시간과 비용이 점점 줄어들고 있다는 점이다. 현재 아마존 EC2 클라우드 컴퓨팅 자원을 임대해서 약 한달 간 연산작업을 수행하면 7만5천~12만달러 선에서 SHA1으로 암호화된 내용을 파악할 수 있는 것으로 분석된다.(관련링크)

인증기관과 웹브라우저들 간 협의체인 CAB포럼은 2011년에 SSL을 사용하기 위한 기본요구사항을 공개하면서 이미 SHA1은 필수적으로 사라지게 될 것이라고 밝힌 바 있다.

구글은 SHA1 퇴출을 위해 2단계 조치를 취할 예정이다. 먼저 현재 베타버전인 크롬48이 정식 배포되는 2016년 1월 말부터 해당 브라우저에서는 새로 발급되는 SHA1 인증서를 차단한다. 해당 인증서를 적용한 웹사이트에 접속시 '인증서 에러(certificate error)' 메시지를 출력한다는 계획이다.