본문으로 건너뛰기

SSL 코드 서명 인증서로 프로그램에 서명한 후에도 '안전하지 않음'이 표시되는 이유는 무엇인가요?

문제 배경​

이전에는 EV 코드 서명 인증서로 마이크로소프트 스마트스크린(SmartScreen)의 보안 경고를 바로 제거할 수 있었습니다. 하지만 현재 마이크로소프트가 관련 메커니즘을 조정하여, EV 코드 서명 인증서로 서명한 프로그램이라도 마이크로소프트 디펜더 스마트스크린의 경고가 표시될 수 있습니다.

마이크로소프트 신뢰도 평가 메커니즘​

마이크로소프트가 새로운 업데이트를 배포하면서, 현재 SmartScreen의 신뢰도 평가는 더는 인증서 유형만을 기준으로 하지 않고 소프트웨어 사용량, 다운로드 수 등 종합적인 신뢰도 지표를 기반으로 판단합니다:

  • 새로 서명된 프로그램: EV든 OV 코드 서명 인증서를 사용하든, 최초 배포 시 SmartScreen 경고가 트리거될 수 있습니다.
  • 신뢰도 축적 과정: 프로그램이 충분한 다운로드 횟수와 사용자 신뢰를 쌓아야 SmartScreen 경고가 점차 사라집니다.
  • EV와 OV의 차이: 마이크로소프트의 신뢰 알고리즘에서 EV 코드 서명의 가중치가 OV보다 높기 때문에, EV 코드 서명에 필요한 누적 다운로드 횟수는 OV 코드 서명보다 훨씬 적습니다.

이 현상은 전적으로 마이크로소프트 측에서 관리하는 것으로, 인증서 자체의 문제가 아님을 알려드립니다. EV 인증서가 여전히 최고 수준의 검증과 보안 보장을 제공하지만, 과거처럼 스마트스크린 경고가 자동으로 제거되도록 보장할 수는 없게 되었습니다.

참고 문헌​

마이크로소프트 공식 문서를 참조하세요: SmartScreen 신뢰도 평가 메커니즘

최종 수정: 에