娇色导航

기업들은 한때 구글이 제안한 ‘TLS 인증서 유효기간 90일 단축’과 연 4회 인증서 교체 권고에 대해 자신들의 민첩성이 충분할지 우려했다. 그러나 이제 CA 브라우저 포럼(CA Browser Forum)은 이보다 더 짧은 인증서 유효기간을 공식 승인했다. 향후 4년 안에 TLS 인증서는 단 47일만 유효하게 되는 것이다.

이는 곧 매달 인증서를 갱신해야 한다는 뜻이다. 감사를 거쳐 매월 인증서를 교체하려면 자동화 없이는 불가능하다. 어떤 인증서를 어디에서 사용하는지 파악하는 것부터 자동화가 필요하다는 얘기다.

키팩터(Keyfactor)의 최고보안책임자(CSO) 크리스 히크먼은 “대부분의 조직은 자사 인증서 환경을 제대로 파악하지 못하고 있다”라며 “조직 내 전체 범위를 이해한 뒤, 인증서가 설치된 엔드포인트를 확인하고, 이를 어떻게 자동화할지를 고민해야 한다”라고 조언했다.

인증서를 제대로 관리하지 못해 만료되는 경우, 단순한 실수로 끝날 수도 있지만 때로는 막대한 비용을 초래할 수 있다. 이에 따라 많은 기업이 최소한 만료까지 한 달 또는 일주일밖에 남지 않은 인증서를 미리 파악할 수 있는 방안을 모색하고 있다. API컨텍스트(APIContext)의 최고운영책임자 데이비드 오닐은 “우리가 가장 많이 요청받는 기능 중 하나는 TLS 인증서의 만료 시점을 기준으로 점검하는 기능”이라고 말했다.

기업마다 보유한 인증서 수는 크게 다르다. 예를 들어, 직원 1,000명 규모의 기술 기업은 마케팅팀이 관리하는 60개 도메인 외에도 수많은 내부 시스템에 인증서를 사용하는 경우가 많다. 오닐에 따르면 일부 고객사는 수백 개에서 수천 개의 SSL 인증서를 관리하고 있으며, 각각의 만료일도 모두 다르다.

히크먼은 “중견 기업이라면 퍼블릭 루트 인증서를 수백 개 보유한 것이 이상하지 않다”라며 “그러나 더 중요한 질문은 ‘전략적으로 중요한 퍼블릭 인증서가 어디에 설치돼 있느냐’는 것”이라고 강조했다. 와일드카드 인증서는 운영 환경과 결제 시스템 등 다양한 서브도메인을 한꺼번에 커버할 수 있기 때문에, 만료 시점을 놓치면 영향이 치명적일 수 있다.

그는 “이 인증서들이 어디에 있는지도 모른다면, 애초부터 실패를 자초하는 셈”이라고 경고했다.

2026년 3월부터는 인증서 유효기간이 200일로 줄어들고, IT팀은 최소 6개월마다 갱신 업무를 수행해야 한다. 이는 현재의 398일 주기보다 두 배로 자주 작업을 해야 한다는 뜻이다. 이 주기는 2027년 3월에는 100일, 2029년 3월에는 한 달로 줄어든다. 그러나 그렇다고 CIO가 지금 대응을 미뤄도 된다는 의미는 아니다.

일부 기업은 이미 선제 대응을 마쳤다. 미국의 한 포춘 500대 금융 서비스 기업은 클라우드 도입 과정에서 2,000개의 인증서를 전수 조사했고, 이 덕분에 엔트러스트(Entrust)에서 다른 퍼블릭 루트 인증기관으로의 전환도 단 한 시간 만에, 장애 없이 마무리할 수 있었다. 이 기업은 현재 16만 개 이상의 인증서를 관리 중이다. 히크먼은 “은행과 연결되는 모든 시스템에 인증서가 적용돼 있다”라며 “47일 주기 도입을 위한 준비는 대부분 완료된 상태”라고 전했다.

그는 이어 “이제 이 기업은 내부 고객에게 조언하는 데 집중할 수 있다”라며 “웹 서버 팀, F5 팀, ATM 팀을 찾아가 ‘이 변화는 이미 1년 반 전에 계획한 것이다. 여러분이 할 일은 없다. 단지 공유 차원에서 알려드리는 것뿐이다’라고 말할 수 있는 수준”이라고 설명했다.

잇따른 여파

TLS 인증서를 대규모로 관리하고 정기적으로 갱신해온 조직이라 해도 여전히 주의를 기울여야 한다고 아트사인(Atsign)의 수석 엔지니어 크리스 스완은 조언했다. 스완은 자신이 관리하는 시스템에서는 비교적 단순한 변경이라고 평가하면서도, 2029년부터는 인증서 갱신 주기가 17일로 단축돼 불안 요소가 전혀 없진 않다고 설명했다.

매월 인증서를 갱신하게 되면 시스템 패치 일정이나 서비스 재시작 일정에도 영향을 줄 수 있다. 하이랜드(Hyland)의 PKI 및 IAM 보안 아키텍트 제프 헤이건은 “IIS는 서비스 재시작 없이도 실시간으로 인증서를 갱신할 수 있지만, 톰캣(Tomcat)처럼 서비스를 재시작해야 하는 애플리케이션도 있다”라며 “현재는 패치 일정에 맞춰 인증서를 갱신하고 있지만, 월간 유지보수 창으로는 시간이 촉박해 새로운 방식이 필요할 수 있다”라고 분석했다.

렛츠인크립트(Let’s Encrypt) 같은 무료 인증서 발급 서비스는 하루 2,000개 수준의 발급 및 갱신 한도가 있으며, 아트사인처럼 인증서를 많이 사용하는 기업은 이 한도에 제약을 받을 수 있다. 인증서 피닝(cert pinning)을 사용하는 애플리케이션 역시 일정 관련 문제에 직면할 수 있다고 스완은 지적했다. 인증서 피닝은 인증서 위조 사고에 대응해 개발된 기법이지만, 인증서 투명성(Certificate Transparency)으로 대체하는 방식이 더 바람직하다는 평가도 있다.

스완은 “인증서 피닝을 사용하는 금융 앱은 복잡한 절차에 부딪힐 수 있다”라며 “새 인증서를 확보하고, 해당 서명을 포함하도록 앱을 업데이트하고, 이를 애플 앱스토어 심사를 거쳐 통과시킨 뒤에야 새로운 인증서를 사용할 수 있다. 그런데 앱스토어 승인을 받는 데만 14일이 걸릴 수 있다”고 설명했다.

그는 이어 “이처럼 유효기간이 짧은 인증서는 어떤 것도 수작업으로 처리할 수 없다”라며 “완전한 자동화가 필수이며, 사용하는 모든 인증서는 반드시 자동화 시스템 내부에서 관리돼야 한다”라고 밝혔다.

장애, 컴플라이언스 리스크, 메시지 전달의 중요성

인증서의 유효기간이 짧아질수록 보안 사고 시 노출 시간이 줄어든다. 처음부터 잘못 발급됐거나 유출된 경우에도 폐기 대신 단순 교체로 대응이 가능해지고, 시스템 전반에 영향을 줄 수 있는 리스크도 줄일 수 있다.

이처럼 짧아진 유효기간은 의도적으로 조직이 인증서 발급 및 활용을 자동화하도록 유도한다. 이를 통해 인증서 유출이나 암호 알고리즘의 긴급 변경 상황에 더욱 유연하게 대응할 수 있도록 한다. 양자내성암호(Post-Quantum Cryptography, PQC)로의 전환도 유사한 일정으로 진행되며, 실환경에서 충분히 검증되지 않은 새로운 알고리즘이 쓰이기 때문에 취약점이 발견되면 빠르게 인증서를 교체해야 한다.

하지만 많은 조직에서 문제는 인증서 자체보다 이를 사용하는 애플리케이션에 있다. 구형 서버 애플리케이션은 인증서 설정을 위한 그래픽 인터페이스를 제공하지만, 이로 인해 다단계 인증서 갱신 프로세스(예: CSR 생성 및 제출, 인증서 설정 및 배포)를 자동화하기가 어렵다.

제프 헤이건은 로드 밸런서에서 SSL 인증서를 중앙화하고, 로드 밸런서와 애플리케이션 간에는 자체 인증기관(Private CA)을 사용해 인증서를 발급받는 방식을 제안했다. 이렇게 하면 인증서를 교체해야 하는 장비 수가 줄고, 서비스 재시작 필요성도 줄일 수 있다. 이는 확장성과 인력 부담 측면에서 유리하며 비용 효율성도 높다.

헤이건은 “비싼 공개 인증서만이 유일한 해법이라는 인식이 문제였다”라며 “클라이언트 인증이나 아이덴티티 서비스 접속 검증에 이런 인증서를 사용하는 건 적절하지 않다. 퍼블릭 TLS 용도와 프라이빗 CA 용도를 구분하기 시작해야 했다. 인증서를 로드 밸런서로 이전하면 전체 볼륨이 줄고, 장비별·사용 사례별로 중앙화할 수 있다”고 말했다. 일부 윈도우 서버 기반 애플리케이션에서는 SSL 오프로딩이 필요하지만, 우선은 공개 인증서부터 정리하고 있다는 설명이다.

또한 헤이건은 견고한 테스트 환경도 중요하다고 강조했다. “자동화가 필요한 상호 TLS 애플리케이션이 있을 수 있고, 설정이 복잡하거나 변경관리DB에 소유권 정보가 제대로 기록되지 않은 경우도 있다”고 설명했다.

인증서를 갱신하려는 장비는 모두 관리 하에 있어야 하며, 액티브 디렉토리(AD)나 다른 방식으로 이를 제어해야 한다. 그러나 AD 인증서 서비스는 ACME(자동 인증서 관리 환경) 프로토콜 지원 등 새로운 기능이 도입되지 않기 때문에, 해당 서비스를 프리 CA로 사용하는 조직은 대체 수단에 대한 예산을 확보해야 한다.

키팩터의 히크먼은 “똑똑한 CIO는 새로운 표준과 기술 변화에 대응하기 위한 기반을 구축해야 한다는 점을 깨닫고 있다”라며 “짧은 기간 내에 수많은 변화가 쏟아질 예정이며, 이를 대비하지 않으면 리스크에 직면하게 될 것”이라고 경고했다.

기술적 문제보다 조직 구조와 문화가 더 큰 장애물일 수 있다. 대부분의 조직에서 마케팅 사이트를 담당하는 애플리케이션 관리자, 시스템 관리자, 웹 관리자들은 인증서를 직접 발급해오며 이러한 변화에 대해 잘 모르는 경우가 많다. 이에 대해 헤이건은 “PKI 담당자는 거버넌스 담당자, DNS 관리자와 협력해야 하며, ACME 검증을 자동화하기 위해 네트워크 엔지니어도 참여해야 한다. CIO는 조직 내 모든 구성원이 원활히 소통할 수 있도록 이끌어야 한다”고 조언했다. 그는 또, 거버넌스를 위한 중심 조직으로 ‘암호화 기술센터(Cryptographic Center of Excellence)’를 구축하라는 가트너의 제안도 고려해볼 만하다고 덧붙였다.

수명 단축에 대한 대비가 마무리되면, 이후의 자동화는 자연스럽게 인증서 유효기간을 점진적으로 단축해 나가게 된다. 인증서 관리 도구는 정책과 변경 시점을 기준으로 인증서를 모니터링하고, 필요한 시점에 자동 갱신을 시작한다.

헤이건은 “갱신 시점이 도래하면 시스템이 자동으로 인증기관에 연결해 갱신을 시도한다”라며 “앞으로는 인증기관이 정한 일정에 따라 자동으로 처리될 것이며, 사람이 수동으로 갱신 일정을 조정하는 일은 점점 사라질 것”이라고 말했다.
dl-ciokorea@foundryco.com