자물쇠 아이콘은 몇 년 전에 은퇴했어야 했다.
재디자인이 아니다. 위치 변경이 아니다. 색상을 부드럽게 하고 툴팁을 다는 것도 아니다. 제거.
반대 논거는 민망할 정도로 단순하다. 자물쇠는 브라우저가 사이트에 TLS 연결을 수립했다는 뜻이다. 데이터가 전송 중 암호화된다. 나와 서버 사이에서 아무도 트래픽을 읽거나 수정할 수 없다.
그게 전부다.
자물쇠는 웹사이트가 합법적인지, 뒤에 사업체가 존재하는지, 데이터가 서버에 안전하게 저장되는지, 도메인이 10분 전에 내 은행을 사칭하려고 등록됐는지에 대해 아무것도 말해주지 않는다. 유효한 TLS 인증서가 있는 피싱 사이트 — 공짜이고 30초면 발급받는다 — 가 실제 은행과 동일한 자물쇠를 받는다. 같은 아이콘. 같은 위치.
사용자는 그 모든 의미를 읽어넣는다. 사소한 UX 오해가 아니다. 이게 문제 전체다.
자물쇠는 공범이다
일반인에게 자물쇠가 뭘 뜻하는지 물으면 “안전하다”, “검증됐다”, “진짜다”의 변형을 듣게 된다. Chrome의 2021년 연구에서 참여자의 11%만이 자물쇠 아이콘의 정확한 의미를 이해했다. Chromium은 노골적으로 썼다 — 거의 모든 피싱 사이트가 HTTPS를 사용하고 따라서 자물쇠를 표시한다고.
다시 읽어라. 이걸로 논쟁이 끝났어야 했다. 거의 모든 피싱 사이트가 HTTPS를 쓴다.
항상 이랬던 건 아니다. 2015년에는 피싱 사이트의 1% 미만이 HTTPS를 썼다. 2019년에는 80% 이상. 지금은 HTTPS가 없는 피싱 사이트가 오히려 의심스러워 보인다 — 아이러니하게도 자물쇠의 부재가 경고를 울리지, 존재가 울리지 않는다. 아이콘이 “긍정 신호”에서 “무신호”를 거쳐 “적극적 오도”로 5년 만에 갔다.
20년 동안 모든 보안 인식 캠페인, “온라인에서 안전하게” 가이드, 선의의 IT 부서가 같은 주문을 반복했다. “자물쇠를 확인하세요.” 은행이 이메일에 넣었다. 정부 사이트가 참조했다. 인증서에 돈이 들고 피싱 사이트가 평문 HTTP였던 2005년에는 맞는 조언이었다. 2017년쯤 적극적으로 해로워졌다. 조언은 업데이트되지 않았다.
한 세대 전체를 자물쇠를 신뢰의 표시로 보도록 훈련시켰다. 이제 공격자가 우리의 신뢰받는 UI 요소를 우리에게 쓴다. 자물쇠는 누군가 자발적으로 데이터를 주는 상대에게 도난당하는 동안 다른 아무도 훔치지 못하게 보장할 뿐이다.
Chrome은 이미 알고 있다
Google Chrome 팀은 수년간 자물쇠를 천천히 격하시켜왔다. Chrome 117 (2023)에서 중립적 “튜닝” 아이콘으로 교체했다 — 신뢰를 암시하지 않는 설정 표시기. iOS에서는 자물쇠를 완전히 제거했다.
이유가 명시적이었다. Chrome 보안팀은 자물쇠가 사용자를 오도하고 대부분이 의미를 오해한다는 연구를 발표했다. 결론: 아이콘이 도움보다 해가 크다.
하지만 변경 후에도 아이콘을 클릭하면 “연결이 안전합니다”가 나온다. 20년 훈련받은 사용자가 Google의 UI 업데이트 하나로 학습을 취소하지 않는다. 멘탈 모델은 남아있다. 반만 한 조치로는 부족하다.
”사용자가 어떻게 알아?”
알 필요가 없어야 한다.
HTTPS는 TCP처럼 보이지 않는 인프라여야 한다. TCP가 작동하는 걸 확인해주는 작은 아이콘 안 받는다. “이 사이트가 DNS를 성공적으로 사용했습니다”라는 뱃지도 안 보인다. 패킷이 표준 준수 방식으로 분할됐는지 사용자가 어떻게 아는지 묻는 사람은 없다. 전송 계층 프로토콜이다. 작동한다. 생각 안 한다.
웹 트래픽의 95% 이상이 암호화되어 있다. 최소 기준을 했다고 금별을 줄 필요가 없다. 전화기를 들 때 회선이 도청당하고 있지 않다는 특별한 신호음이 안 들린다. 그냥 작동하길 기대한다.
브라우저는 이미 실패 상태를 전달하는 방법을 안다. Chrome은 HTTP 사이트에 “안전하지 않음” 경고를 보여준다. 이게 맞는 모델이다. 기준선에는 침묵, 예외에는 경보. 도로 위의 모든 차에 안전벨트가 있다고 칭찬하지 않는다. 없는 차를 표시한다.
뭘로 대체해야 하나
아무것도. 이게 정답인데 사람들이 불편해한다.
정상적인 HTTPS 페이지는 정상적으로 보여야 한다. 자물쇠도, 슬라이더도, “안전함” 텍스트도 없이. 연결 상세정보는 원하는 사람을 위해 남겨두면 된다. 브라우저는 HTTP와 인증서 실패에 대해 크게 경고를 계속하면 된다. 하지만 일상적 암호화 연결이 주소 표시줄에 작은 훈장을 달 이유는 없다.
반론이 실제보다 좋게 들린다. “자물쇠가 안심감을 주고, 안심감에는 가치가 있다.” 물론. 하지만 질문은 그 안심감이 참인가다. 카페 WiFi가 내 트래픽을 못 읽는다고 안심시키면 괜찮다. 하지만 현실에서 그렇게 작동하지 않는다. 사이트 자체에 대해 — 정체성, 정당성, 비밀번호를 넘겨야 하는지 — 안심시킨다. 그 범주에서 자물쇠는 불완전한 정도가 아니다. 적극적으로 오도한다.
아이콘이 거의 모든 사람이 생각하는 의미가 아니라는 걸 설명하기 위해 공교육 캠페인이 필요하면, 그 아이콘은 나쁜 아이콘이다.
자물쇠는 HTTPS가 드물던 1990년대에는 말이 됐다. 그 시대는 끝났다. 전송 중 암호화는 기본 조건이다. 브라우저가 최소 기준에 신뢰 모양 스티커를 붙이면 보안이 나빠진다.