응용프로그램 인증서(Code Signing Digital IDs)

웹상에서 배포되어 지는 ActiveX, Java Applet 등의 프로그램을 배포자의 신원을 확인하고 증명해 주는 인증서입니다.

최근들어 인터넷에서 특정 서비스를 이용하기 위해서 인터넷상에서 ActiveX Control이나 Java Applet 형식의 응용프로그램을 다운로드 받아야만 하는 경우를 자주 발견할 수 있습니다. 이러한 ActiveX Control이나 Java Applet 같은 응용프로그램을 다운로드 받을 때 간혹 보안경고창이 뜨면서 프로그램의 다운여부를 묻는 경우가 있는데, 사용자 입장에서는 프로그램을 직접 실행해보기 이전에 이 프로그램이 유익한 프 로그램인지 바이러스나 해킹 같은 악성프로그램인지 전혀 알 수 없습니다.

따라서 배포자는 배포할 프로그램이 사용자의 PC에 유해하지 않으며, 만약 유해를 가했을 경우 책임을 지겠다는 의미의 전자적 서명(Code Signing)을 해야 하며, 다운로드 받을 최종 사용자가 이것을 신뢰하고 설치하게 됩니다. 이러한 전자적 서명을 가능하게 하는 것이 바로 응용프로그램 인증서이며, 이 인증서는 사용자들에게 프로그램의 안전성과 신뢰성을 입증해주는 역할을 합니다.

응용프로그램 인증서는 개인이 아닌 회사 또는 기관에만 발급되며, 발급을 위해서는 실체성 증명을 위한 서류제출과 신원 확인을 위한 전화 인증절차가 필수입니다. 이러한 절차를 거쳐 인증서를 발급 받은 업체는 인증기관의 엄격한 심사를 거쳐 인증을 받은 신뢰성있는 업체임을 증명 할 수 있습니다.

[정상적으로 서명이 된 프로그램]

[서명이 되지 않은 프로그램]

현재까지는 응용프로그램 인증서로 서명되지 않은 ActiveX 컨트롤을 사용하는 경우에도 사용자들이 원하면 설치가 가능하게 되어 있었습니다. 그러나 해킹 및 스파이웨어, 애드웨어등의 피해사례가 늘어남에 따라 Microsoft에서 는 Windows XP SP2(서비스팩2)의 보안수준을 대폭 강화하여 전자적서명(코드사인)을 하지 않은 응용프로그램에 대해서는 아예 배포가 불가능하게 만들었으며, 2005년6월 14일 배포한 Windows2003 Service Pack1에도 같은 기능이 탑재되어 있습니다. 또한 내년 봄에 출시 예정인 Windows2000 Service Pack5 등과 향후에 출시될 모든 제품에 대하여 점차적으로 인증되지 않은 응용프로그램의 차단을 강화할 것이라고 밝히고 있습니다. 따라서 응용프로그램 개발자들은 신뢰된 인증기관(VeriSign,Thawte)에서 응용프로그 램(코드사인) 인증서를 발급받아 응용프로그램에 서명한 후에 배포하여야만 합니다. 그래야만 인터넷 사용자들이 응용프로그램을 내려받을 수 있으며, 배포하는 프로그 램에 대한 신뢰성을 가지게 되어 회사의 이미지 또한 높일 수 있습니다.

[Windows XP SP2(서비스팩2)의 경우]

Instant SSL - 응용프로그램 인증서

응용프로그램 인증서(Code Signing Digital IDs)