DigiCert는 수백에서 수천, 수만 명에 달하는 도메인과 서브도메인을 안전하게 관리해야 하는 고객들과 일하고 있습니다. 귀하가 안전하게 관리해야 하는 범위가 방대하고, 무엇보다도 위협 또한 증가하고 있기 때문에 이를 효율적으로 관리한다는 것이 중압감으로 다가올 수 있습니다. 원격 근무와 같은 트랜드가 디지털 전환을 가속화 함에 따라 공격 표면이 증가하고 있습니다. 게다가 이제는 단지 웹사이트 뿐만이 아닌 모든 디지털 상호작용에서 보안에 유의해야 합니다. 귀하는 인증서 목록 전체를 관리함에 있어서, 보안과 효율성 중 어느 한쪽만 지나치게 치중되지 않도록 균형을 찾아야 할 것입니다. 관리하기 쉬운 범위를 유지하면서도 최상의 보안을 제공함으로써 소비자에게 지속적으로 신뢰를 안겨줄 수 있는 최적의 솔루션이 필요할 것입니다.

와일드카드 TLS 인증서는 효율적이지만 제대로 관리하지 않을 경우 순식간에 보안에 취약해지는 솔루션의 대표적인 예입니다. 이론적으로 무제한 생성가능한 수많은 서브도메인의 보안을 와일드카드로 간편하게 관리할 수도 있습니다. 하지만 와일드카드가 재활용 될 수록 그만큼 보안 위협은 증가합니다. 이러한 이유로 많은 기업에서는 와일드카드 인증서를 전면적으로 금지하고 있습니다. 만에 하나 잘못 사용된다면, 보안에 취약해지기 때문입니다.

최근에는 미국국가안전보장국(NSA)도 와일드카드 인증서의 과도한 사용에 대해 경고했습니다. 미국국가안전보장국은 와일드카드 인증서가 호환가능한 인증서를 통해 TLS 서버를 익스플로잇 공격하는 ALPACA 테크닉에 특히 취약하는 점을 지적했습니다. 그러므로, 기업 위기 관리 능력 향상을 위해서는 와일드카드 인증서가 지닌 위험을 파악하는 것이 중요합니다. 이 포스트를 통해 와일드카드 인증서가 보안에 취약한 이유 및 귀하의 인증서 관리 과정에서 효율성과 보안 사이의 균형을 맞출 수 있는 방법에 대해 소개하고자 합니다.

와일드카드 TLS/ SSL 인증서란?

와일드카드 TLS 인증서는 도메인 네임 필드에 삽입된 별표 (*)를 통해 하나의 인증서로 도메인 뿐만 아니라 여러 개의 서브도메인 보안을 관리할 수 있도록 되어있습니다. 이론적으로 관리자는 한 개의 와일드카드 인증서를 통해 무한개의 서브도메인 보안을 관리할 수 있습니다. 즉 와일드카드 인증서를 통해 구매 및 유통 절차의 생산성을 높여줍니다. 하지만 하나의 와일드카드 인증서로 수백 개 또는 수천 개의 서브도메인 보안을 관리할 수 있다고 해서 그것이 최선의 방법인 것은 아닙니다.

와일드카드 인증서가 지닌 보안 위험

와일드카드 인증서는 일단 사용하기에 편리하지만, 만에 하나 문제가 발생하였을 때 원인을 찾아서 해결하는 것이 쉽지 않습니다. 그리고 사이버 범죄자들이 와일드카드를 타겟으로 삼아 익스플로잇 공격을 시도할 수 있기에 문제가 발생할 확률이 상대적으로 높습니다. 안타깝게도 서브도메인 보안 관리가 간편한 만큼, 공격자가 동일한 와일드카드 인증서를 통해 귀하의 메인 도메인을 비롯하여 서브도메인 전체를 공격하는 것도 쉬워집니다.

관리자가 와일드카드를 인증서 피닝과 유사한 방식으로 이용하는 경우도 있는데, DigiCert에서는 이러한 방법을 권장하지 않습니다. 예를 들어, 기업에서는 하나의 와일드카드 인증서를 외부 업체를 비롯하여 다양한 서버 내에 존재하는 천 개의 서로 다른 대상에 적용하여 함께 이용할 수 있을 것입니다. 이러한 방법이 효율적이긴 하지만 보안에 매우 취약합니다. 만일 한 개의 서버가 훼손되는 경우 같은 인증서를 사용하는 모든 도메인이 보안에 취약해집니다. 그리고 귀하의 서브도메인을 관리하는 대리인이 많을 수록 더 많은 사람들과 개인 키를 공유해야 하는데 이로 인해 위험성이 증가합니다. 개인 키를 공유해서는 안되는 이유에 대해서는 이미 이전 포스트에서 설명드린 바 있습니다. 가장 최악의 시나리오는 해커들이 와일드카드 인증서의 개인 키에 접근하여 같은 와일드카드를 통해 서브도메인을 생성하고 관리하면서, 귀하가 합법적으로 키워낸 브랜드를 사칭하여 피싱 캠페인을 벌이는 것입니다. NSA에서 경고한 바에 의하면 도난당한 와일드카드 인증서 개인 키는 워터링 홀 공격, 광고, 중간자 공격에 사용되어 귀하의 평판에 흠집을 낼 수 있습니다. 그러므로 와일드카드 인증서는 언뜻 보기에 효율적이지만, 기관에서 이를 적절하게 제어하고 모니터링하지 못했을 경우 발생할 수 있는 보안 리스크의 심각성은 애초에 와일드카드 인증서를 이용함으로써 얻고자 했던 효율성을 능가합니다.

ALPACA 익스플로잇 공격으로 인해 애플리케이션 보안이 취약화되는 과정 (출처: 미국국가안전보장국)

우리는 여러 기업이 가능한 인력을 모두 동원하여 관리 업무에 최선을 다하고 있다는 것을 알고 있으며, 효율성과 보안 향상에 보탬이 되고자 합니다. 그렇기에 자동화를 권장해 드리는 것입니다.

자동화 — 효율성과 보안의 완벽한 균형

자동화는 보안과 효율성을 모두 적절히 고려할 수 있는 최고의 솔루션입니다. 자동화를 이용하면 직원들의 과로 없이도 보안을 지킬 수 있기 때문입니다. 자동화는 와일드카드 인증서보다 효율적으로 귀하의 인증서를 관리합니다. 이제는 엑셀 스프레드시트와 씨름하지 않아도 됩니다. 최신 PKI 솔루션은 인증서 요청, 리뉴얼, 검증, 알림, 폐기를 포함한 상당 부분을 자동화함으로써 인증서 생명 주기 관리를 간소화하고 시간을 절약하며 리스크를 축소할 수 있도록 돕습니다. 이러한 이유로 기업 10곳 중 9곳은 이미 PKI 자동화 시스템으로 전환하고 있습니다.

DigiCert CertCentral®은 ACME, 자동화 툴, API를 비롯한 다양한 자동화 설정 노하우를 지니고 있습니다. CertCentral이 Windows와 Linux 서버 모두에서 작동하는 UI를 이용해 다수의 ACME 클라이언트를 관리할 수 있습니다. 이는 우리가 모든 유형의 비즈니스에 기본적으로 적용하는 자동화 서비스입니다. 폭넓은 유연성과 맞춤 서비스의 예로, API는 귀하의 시스템 또는 원하는 플랫폼과 CertCentral을 직접 통합시킬 수 있습니다. 마지막으로 확장성이 뛰어난 관리형 자동화 기능의 예를 소개하자면, DigiCert는 다른 OEM 솔루션, 즉 광범위하게 사용되는 로드 밸런서, F5, Amazon AWS, Citrix 등과 매끄럽게 통합 가능한 기업 자동화 툴을 갖추고 있습니다. DigiCert의 최신 블로그 포스트를 통해 PKI 인증서와 워크플로의 자동화를 준비하는 법에 대해 알아보십시오.

와일드카드 인증서를 구매해도 좋은 경우

만일 여러 개의 서브도메인 보안을 관리해야 하는데 이를 내부적으로 안전하게 유지할 수 있다면, 와일드카드 인증서를 구매하셔도 좋습니다. 와일드카드 인증서는 빠르게 적용할 수 있으면서도 비용이 저렴합니다. 하지만 와일드카드를 구매하기 전 보안 리스크를 충분히 숙지해야 하며, 적절한 제어 및 모니터링을 통해 와일드카드 인증서의 남용을 예방해야 합니다. 예를 들자면, 귀하는 와일드카드 인증서를 제한적으로 사용해야 하며, 개인 키를 최상의 방법으로 보관 및 보호해야 합니다. 만약 필요한 경우 DigiCert가 구체적인 테크닉을 활용하여 와일드카드를 더 안전하게 이용하도록 도울 수 있습니다. 한 예로, 우리는 고객들이 발급한 와일드카드에 각각 서로 다른 CSR(인증서 서명 요청)을 적용하도록 도운 경험이 있습니다. 이렇게 각 발급마다 서로 다른 CSR을 적용해서 이중 인증서를 만들어내면, 같은 와일드카드라 할지라도 좀 더 분리시킴으로써 보안성을 높일 수 있습니다.

귀하는 더 안전한 방법인 멀티 도메인 또는 주체 대체 이름(SAN) 인증서를 선택할 수도 있습니다. SAN 인증서는 한 인증서가 여러 가지 URL을 담당한다는 점에서 와일드카드와 유사하지만, 이는 특정 URL에 한정됩니다. 하지만 귀하가 보안과 효율성을 모두 적절히 고려하면서 인증서를 관리하는 데는 자동화가 장기적으로 더 바람직한 솔루션일 것입니다.

2022년 TLS 보안 가이드

우리가 발간한 2022년 TLS 보안 가이드를 다운로드하셔서 인증서 관리 절차를 간소화하고 자동화를 적용하는 동시에 모든 인증서의 보안을 관리하는 방법에 대해 알아보십시오.