공동 작성자: Jeremy Rowley

일반적인 웹 사용자는 안전한 디지털 세상을 만들기 위해 보이지 않는 곳에서 얼마나 많은 노력이 이루어지고 있는지 잘 모를 수 있습니다. 하지만 신뢰할 수 있는 웹사이트, 이메일, 서버 및 소프트웨어의 신뢰성은 인증 기관(CA)에서 발급한 디지털 인증서를 통해 완성된다는 사실은 기억해야 합니다. CA는 Certificate Authority/Browser(CA/B) Forum 등과 같은 표준 설정 기관에서 신뢰할 수 있다고 인정받은 기관입니다. 

때로는 사람이 작성한 코드의 오류 또는 버그로 인해 발급된 인증서가 루트 저장소 운영자의 엄격한 규정 준수 요구 사항을 충족하지 못하는 경우가 있습니다. 이러한 일이 발생하면 CA는 무슨 일이 발생했는지 투명하게 밝히고 해당 인증서를 해지하고 전체 커뮤니티가 해당 사례를 통해 유익한 교훈을 얻을 수 있게 도와야 합니다. 

그러나 Google Chrome의 Entrust에 대한 불신을 보면 손상이 발생했을 때 CA 측에서 문제를 적절히 완화하지 못한 경우 그 결과가 CA와 그 고객에게 큰 영향을 미칠 수 있다는 사실을 확인할 수 있습니다. 

Google은 왜 Entrust를 불신하게 되었을까요?

2024년 6월, Google의 Chrome Security Team에서는 2024년 10월 31일 이후 Entrust에서 발급한 TLS 인증서를 더 이상 신뢰하지 않을 것이라고 발표했습니다. 해당 발표가 있기 몇 달 전 Entrust는 26,000개가 넘는 EV TLS 인증서를 잘못 발급한 사실을 인정했습니다.

CA/B Forum의 기준 요구 사항에 명시된 잘못 발급된 인증서에 관한 해지 기간은 매우 짧으며, 문제의 유형에 따라 24시간 또는 5일입니다. 일반적으로 CA는 조직에 미치는 영향을 최소화하면서 이 문제를 해결할 수 있어야 하지만 Entrust는 해당 인증서를 해지하거나 교체하기 위한 어떠한 조치도 취하지 않았습니다.  

필요한 조치를 취하지 않았을 때 조직은 비즈니스의 중단을 경험할 수 있고, CA의 상태에 대해 확신할 수 없으며, 이에 따라 고객과의 신뢰를 상실할 수 있습니다. 그리고 Entrust와 같이 CA 측에서 잘못 발급된 인증서를 해지 및 교체하지 않을 경우 2024년 Google이 그랬던 것처럼 웹 브라우저 업체에서 더 이상 CA를 더 이상 신뢰하지 않게 될 것입니다.

인증서의 잘못된 발급에 따른 비즈니스 중단을 방지할 수 있는 방법

버그는 흔히 발생할 수 있는 소프트웨어 에러로, 매우 정교한 소프트웨어 개발 수명 주기에서도 인증서가 잘못 발급되는 일은 발생할 수 있습니다. 이러한 일이 발생했을 때 CA의 1차적인 목표는 실수가 발생한 부분을 파악하고 다시 같은 일이 발생하지 않도록 하는 것입니다.

2023년에 DigiCert는 글로벌 기기 제조업체 한 곳에 발급된 인증서 300개가 CA/B Forum의 기본 요구 사항에 명시된 엄격한 프로파일 요구 사항에 부합하지 않는다는 사실을 파악했습니다. 요구 사항에 따라 DigiCert는 표준을 준수하기 위해 5일 안에 해당하는 인증서를 해지해야 했습니다. 해당 표준은 공개적으로 신뢰할 수 있는 엔터티로서 모든 CA가 준수해야 합니다.

하지만 이때 한 가지 문제에 직면하게 되었습니다. 고객과 문제에 대해 논의를 거치는 과정에서 5일 내에 인증서를 해지하는 작업을 수행했을 때, 중요한 시스템에 대규모 중단이 발생하고 이는 고객의 안전 문제로 이어질 수 있다는 점이 명백해졌습니다. 이에 따라 DigiCert는 제조업체와 긴밀하게 협력하며 잘못 발급된 인증서를 교체하는 데 1달이 필요하다는 결정을 내렸습니다.

CA/B의 규칙은 반드시 따라야 하는 사항이었지만, 적절하게 발급된 대체 인증서를 마련하지 않은 채 문제가 되는 인증서를 바로 해지할 수 없는 상황이었습니다. 이러한 상화에서 DigiCert는 커뮤니티와 소통하고 고객과 24시간 협력하여 제때 새 인증서를 발급하고 실행할 수 있었습니다. 

이 사건은 관련된 모든 사람에게 큰 스트레스를 주었지만, 그 과정에서 문제가 어디서 발생했는지 탐색하고 파악하는 경험은 고객으로 하여금 잘못 발급된 인증서가 지속적인 문제가 되지 않도록 조치를 취하는데 도움이 되었습니다.

보안을 유지하기 위해 인증서에 의존하는 모든 조직에 권장하는 조언은 다음과 같습니다.

1. 적절한 경우 비공개 신뢰 인증서를 사용합니다.

CA/B Forum은 공개 신뢰 인증서에 대한 표준만 설정합니다. 비공개 신뢰 인증서의 경우 5일의 해지 기한 조건이 설정되어 있지 않습니다. DigiCert의 기기 제조업체 고객의 경우 공개 신뢰 인증서가 필요 없는 기기(해당 사례에서는 연결된 기기)에 인증서를 설치하면 불필요한 문제가 발생할 가능성이 있습니다.

DigiCert에서는 인증서 사용을 확인한 다음 비공개 인증서만 필요한 경우에는 공개 신뢰 인증서를 비공개로 변경하여 비즈니스 중단을 일으키는 해지 위험을 없애는 것은 권장드립니다.  

다음은 비공개 신뢰 인증서에 가장 일반적인 사용 사례입니다.

• 연결된 기기: 연결된 IoT 기기는 인증서를 사용하여 게이트웨이, 서버, 애플리케이션 또는 기타 기기에 대한 연결을 수동으로 인증합니다. 이러한 통신은 일반적으로 사설망을 통해 이루어지기 때문에 공개 신뢰가 필요 없습니다.
• 내부 앱 및 웹사이트: 공개적으로 액세스할 수 없기 때문에 회사 인트라넷에는 공개 신뢰가 필요하지 않습니다.
• 조직간 통신: 파트너 조직은 다른 비공개 인증서를 수락하도록 시스템을 수동으로 구성하여 공개 신뢰에 대한 필요를 없앨 수 있습니다.
• VPN: 클라이언트 및 서버 인증에 비공개 인증서를 사용하면 신뢰할 수 있는 기기만 기업 VPN에 연결할 수 있습니다.

또한 DigiCert의 무료 오픈 소스 인증서 Linter인 PKIlint를 사용하여 인증서에 대해 자동화된 규정 준수 점검을 실행하는 것이 좋습니다.

2. 포괄적인 인증서 관리 솔루션을 구축합니다.

여전히 많은 기업들이 스프레드시트를 사용하여 인증서를 직접 추적합니다. 인증서 수명 주기 관리(CLM) 솔루션을 마련하면 CA/B Forum의 5일 기한을 맞추는 것이 문제가 되지 않습니다. 하지만 이 솔루션이 없는 상태에서 잘못 발급된 인증서를 교체하려고 하면, 완료하는 데 몇 주가 걸리는 고된 수동 프로세스를 거쳐야 할 수 있습니다.

조직에서 아직 포괄적인 CLM을 사용하지 않는 경우에는 다음과 같은 기능을 제공하는 DigiCert 신뢰 수명 주기 관리자와 같은 솔루션을 구현하십시오.

• PKI 인증서 탐색
• 모든 공개 및 비공개 인증서에 대한 전체 리포지토리
• 세밀한 가시성과 운영 통제력
• 인증서 만료 예방을 위한 알림
• 취약성 개선

디지털 신뢰를 중요시하는 CA와 협력하는 것의 중요성

DigiCert에서 정말 많이 강조하는 디지털 신뢰는 추상적인 개념이 아니며 객관적이고 측정 가능한 지표입니다. 조직의 웹사이트 및 디지털 제품은 신뢰할 수 있는 인증서로 보호되거나 보호되지 않는 것으로 구분할 수 있습니다. CA는 CA/B Forum과 같은 그룹에서 설정한 표준을 준수하는 기관과 그렇지 않은 기관으로 구분됩니다.

CA가 신뢰 커뮤니티의 일원이 되는 것에 동의했을 때, 해당 CA의 신뢰성은 해당 기관의 투명성과 규칙 준수에 대한 의지로 측정할 수 있습니다. 인증서 발급 오류의 상황이 자동으로 해당 CA에 대한 불신으로 이어지는 것은 아닙니다. 문제가 발생했을 때 그 원인, 해당 경험에서 CA가 얻은 교훈, CA의 사고 처리 방식이 모두 중요한 요소입니다.

디지털 신뢰의 최신 발전 소식

인증서 수명 주기 관리, 디지털 신뢰 또는 DigiCert의 디지털 신뢰 솔루션과 같은 주제에 대해 더 자세히 알고 싶습니까? DigiCert 블로그를 구독하면 새로운 소식에 대한 알림을 받을 수 있습니다.