Firefox 암호화 키 기록 경고, 내 PC에서 무엇을 확인해야 할까?

사이트 인증서보다 키 기록을 켠 프로그램부터 찾는다

Firefox가 암호화 키를 기록하도록 설정됐다고 경고한다면, 먼저 컴퓨터에서 실행 중인 디버깅 도구와 보안 프로그램을 확인해야 한다. Mozilla 도움말은 이 경고만으로 악성코드 감염을 뜻하지는 않는다고 설명한다. 개발 도구나 보안 제품이 같은 기능을 사용할 수 있기 때문이다.

9월 29일 공개된 Firefox 157은 키 기록 설정을 사이트 정보 패널과 설정 화면에 알리는 경고를 추가했다. 업데이트 뒤 처음 봤더라도, 업데이트가 키 기록을 새로 켰다는 의미로 받아들여서는 안 된다. 이번 변화는 그 설정이 활성화돼 있음을 사용자에게 보여주는 것이다.

이 경고가 설명하는 대상은 키 기록 설정이다. 방문한 사이트의 인증서가 잘못됐다는 판정이나, 누군가 이미 통신을 가져갔다는 증거와는 구분해야 한다.

HTTPS를 푸는 데 필요한 정보를 별도 파일에 남긴다

SSLKEYLOGFILE은 키를 기록할 파일 경로를 지정하는 환경 변수다. Firefox가 사용하는 NSS의 설명에 따르면 외부 프로그램은 이 파일을 이용해 TLS 패킷을 복호화할 수 있다. 네트워크 관리자가 Wireshark로 통신 문제를 분석하는 용도 등이 여기에 해당한다.

따라서 주소가 https://로 시작한다고 해서 키 파일까지 읽을 수 있는 프로그램으로부터 통신 내용이 가려지는 것은 아니다. RFC 9850의 보안 고려사항은 파일에 키가 포함된 연결의 기밀성과 무결성이 영향을 받을 수 있다고 설명한다. 현재 연결뿐 아니라 암호화된 패킷을 이미 저장해 둔 경우도 포함한다.

범위는 그 파일에 기록된 연결이다. 키 로그 하나가 모든 사이트·모든 과거 통신을 열어 주는 만능 열쇠라는 뜻은 아니다. 반대로 기록을 중단했다는 이유로 이미 만들어진 키 파일의 민감성이 없어지는 것도 아니다.

연결 오류가 있다면 HTTPS 검사 기능을 따로 확인한다

본인이 네트워크 디버깅을 위해 키 기록을 켰다면 실행 설정과 저장 경로부터 확인할 수 있다. 설정한 기억이 없다면 보안 제품의 암호화 통신 검사 기능을 살펴볼 차례다. Mozilla의 관련 작업 기록에는 일부 백신이 HTTPS 통신을 해독하기 위해 이 환경 변수를 Firefox에 넣고, 그 과정에서 연결이 깨지는 사례가 관찰됐다고 적혀 있다.

키 기록 경고와 함께 사이트가 열리지 않는 경우, Mozilla가 제시한 확인 순서는 다음과 같다.

1. 설치된 백신·방화벽·네트워크 보안 제품을 확인한다.
2. HTTPS scanning, 암호화 트래픽 검사, 웹 보호처럼 HTTPS 통신을 검사하는 기능을 찾는다.
3. 제품이 허용하는 경우 해당 기능을 일시적으로 꺼서 같은 연결 오류가 계속 나는지 비교한다.
4. 오류가 사라지면 그 결과를 보안 제품 업체에 전달해 후속 지원을 받는다.

여기서 비교할 대상은 통신 검사 기능이다. 백신 전체를 삭제하거나 모든 보호 기능을 계속 꺼 두는 것을 해결 기준으로 삼을 필요는 없다. 회사가 관리하는 PC라면 제품명과 경고 내용을 관리자에게 전달해 해당 검사 설정을 확인하는 편이 적절하다.

문제 보고에는 오류 정보를, 공개 게시물에는 키 파일을 넣지 않는다

문제가 이어진다면 정확한 오류 문구, 키 기록 경고가 함께 떴는지, 사용 중인 보안 제품명과 활성화된 HTTPS 검사 기능을 남겨야 한다. 사이트가 안 열린다는 설명만으로는 브라우저 문제와 보안 제품의 개입을 구분하기 어렵다.

키 로그는 일반적인 설정 목록과 다르다. RFC가 접근 통제를 요구하는 이유도 그 안의 비밀값으로 기록된 통신의 보호를 깨뜨릴 수 있기 때문이다. 공개 포럼에 오류를 설명할 때 키 파일을 그대로 붙이지 않아야 한다.

경고를 처리했다는 기준은 문구를 보이지 않게 만드는 데 있지 않다. 어떤 프로그램이 기록을 켰고 누가 그 파일을 읽을 수 있는지 파악해야, 계속 필요한 진단 설정인지 원치 않는 기록인지 판단할 수 있다.