Cryptology Academy · 강의

인증서 폐기: CRL 및 OCSP

침해된 인증서가 실제 환경에서 폐기되는 방식을 이해합니다.

레슨 3/413개 단계

인증서 폐기: CRL 및 OCSP은(는) CoddyKit의 무료 Cryptology Academy 강의입니다. 이것은 4개 중 3번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cryptology Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cryptology Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

환영합니다

인증서는 만료되지만, 때로는 만료되기 전에 개인 키가 침해됩니다. 폐기 메커니즘을 사용하면 CA가 인증서를 더 이상 신뢰할 수 없다고 알릴 수 있습니다.

인증서 폐기가 중요한 이유

공격자가 TLS 개인 키를 훔치면 인증서가 만료될 때까지 서버를 사칭할 수 있습니다. 폐기를 사용하면 CA가 인증서를 즉시 무효화할 수 있습니다.

인증서 폐기 목록(CRL)

CRL은 CA가 게시하는 폐기된 인증서 일련번호의 서명된 목록입니다. 클라이언트는 CRL을 내려받아 대상 인증서의 일련번호가 목록에 있는지 확인합니다.

CRL의 문제점

CRL은 클 수 있습니다(주요 CA의 경우 폐기된 인증서가 수백만 개). CRL은 주기적으로 내려받기 때문에 방금 폐기된 인증서가 CRL에 나타나기까지 몇 시간이 걸릴 수 있습니다. 지연 시간 = 보안 공백입니다.

OCSP: 온라인 인증서 상태 프로토콜

OCSP는 CA가 운영하는 응답자에게 실시간 질의를 보냅니다. 요청: '일련번호 1234가 아직 유효합니까?' 응답: 'Good' / 'Revoked' / 'Unknown' CA의 OCSP 서명 키로 서명됩니다.

OCSP의 개인정보 보호 문제

웹사이트를 방문할 때마다 브라우저는 어떤 사이트를 방문하는지 CA의 OCSP 응답자에게 알립니다. 이로 인해 검색 기록이 CA에 노출됩니다. Firefox는 대부분의 연결에서 OCSP를 비활성화합니다.

OCSP 스테이플링

OCSP 스테이플링은 개인정보 보호 문제를 해결합니다. 서버가 주기적으로 자체 OCSP 응답을 가져와 TLS 핸드셰이크에 '스테이플'합니다. 클라이언트는 CA에 직접 연결하지 않고 응답을 받습니다.

OCSP Must-Staple 확장 기능

OCSP Must-Staple X.509 확장 기능은 스테이플된 OCSP 응답이 제공되지 않으면 브라우저가 인증서를 거부하도록 지시합니다. OCSP 확인을 건너뛰는 소프트 페일 공격을 방지합니다.

소프트 페일과 하드 페일

소프트 페일: OCSP 또는 CRL을 사용할 수 없으면 그대로 계속합니다(보안 위험). 하드 페일: 폐기 상태를 확인할 수 없으면 연결을 거부합니다. Chrome은 기본적으로 소프트 페일을 사용합니다.

CRLite와 OneCRL

Firefox는 폐기된 모든 인증서를 포함하는 압축된 확률적 데이터 구조인 CRLite를 사용하며, 매일 갱신합니다. OneCRL은 폐기된 중간 인증서의 더 작은 목록입니다. 둘 다 OCSP 질의를 사용하지 않습니다.

자신의 인증서를 폐기하는 방법

Let's Encrypt ACME: certbot revoke --cert-path /etc/letsencrypt/live/domain/cert.pem 개인 키 또는 ACME 계정 자격 증명이 필요합니다. 폐기는 OCSP 응답에 즉시 적용됩니다.

빠른 확인

직접 OCSP 질의를 사용하는 것과 비교해 OCSP 스테이플링은 어떤 문제를 해결합니까?

인터랙티브 레슨에서 답해보세요

복습

인증서 폐기는 복잡하지만 매우 중요한 주제입니다. 다음으로 OpenSSL을 사용해 자체 인증 기관을 만듭니다.

무료로 시작

AI 튜터와 함께 Cryptology Academy을(를) 배우세요 — 무료

브라우저에서 실제 코드를 작성하고 실행하며, 24/7 AI 튜터로부터 즉각적인 도움을 받고, 웹이나 앱에서 중단한 부분부터 계속 학습하세요.

코스: 67
레슨: 261

무료로 학습 시작 전체 코스 보기

자주 묻는 질문

“인증서 폐기: CRL 및 OCSP” 강의는 무료인가요?

네 — “인증서 폐기: CRL 및 OCSP” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cryptology Academy 강의 전체를 잠금 해제할 수 있습니다. Cryptology Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“인증서 폐기: CRL 및 OCSP”에서 뭘 배우나요?

침해된 인증서가 실제 환경에서 폐기되는 방식을 이해합니다. 브라우저에서 직접 실행하는 실습 코드로 Cryptology Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cryptology Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cryptology Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 3번째 강의입니다.

“인증서 폐기: CRL 및 OCSP” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cryptology Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cryptology Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cryptology Academy(으)로 돌아가기