인증 기관

인증 기관(CA)은 인증서를 발급하고 디지털 서명하는 신뢰할 수 있는 조직입니다.

CA가 인증서에 서명한다는 것은 이 신원을 확인했으며 이 공개 키를 신뢰해도 된다는 의미입니다.

브라우저와 운영 체제에는 신뢰할 수 있는 루트 CA의 목록이 기본으로 포함되어 있습니다.

모두가 이미 이러한 루트 CA를 신뢰하므로, 루트 CA가 서명한 인증서는 수동으로 구성하지 않아도 자동으로 신뢰됩니다.

CA는 계층 구조로 운영됩니다.

• 루트 CA는 오프라인 상태로 보관되고 거의 사용되지 않으며, 최종적인 신뢰 앵커 역할을 합니다.
• 중간 CA는 루트 CA의 서명을 받고 일상적인 서명을 수행합니다.

이렇게 하면 중요한 루트 키가 노출되지 않도록 보호할 수 있습니다.

CA는 서로 다른 엄격성 수준으로 신원을 확인합니다.

• 도메인 검증(DV)은 도메인을 관리하고 있다는 사실만 입증합니다.
• 조직 검증(OV)은 조직이 실제로 존재하는지 확인합니다.
• 확장 검증(EV)은 법적 정보를 심층적으로 조사합니다.

도메인 검증을 위해 CA는 도메인을 관리하고 있다는 사실을 입증하도록 요청합니다. 일반적으로 URL에서 토큰을 제공하거나 DNS 레코드를 추가하는 방식으로 입증합니다.

공개 CA(상용 제공업체 등)는 전 세계 브라우저에서 신뢰합니다.

사설 CA는 조직이 자체 기기와 서비스를 위해 내부적으로 운영합니다. 사설 CA를 신뢰해야 하는 모든 클라이언트에 루트 인증서를 수동으로 설치해야 합니다.

렛츠 인크립트는 무료로 자동화된 공개 CA입니다. ACME 프로토콜을 사용하므로 클라이언트가 사람의 개입 없이 인증서를 요청하고 갱신할 수 있습니다.

신뢰할 수 있는 루트 CA의 목록은 신뢰 저장소에 보관됩니다.

• 운영 체제는 시스템 신뢰 저장소를 관리합니다.
• 브라우저는 자체 신뢰 저장소를 사용할 수도 있습니다.

많은 Linux 시스템에서 신뢰할 수 있는 루트 인증서를 확인할 수 있습니다.

CA의 서명 키를 도난당하거나 CA가 위조된 인증서를 발급하면 전체 신뢰 모델이 무너집니다.

과거의 사고로 인해 브라우저가 CA 전체를 신뢰하지 않게 된 사례가 있으며, 그 결과 해당 CA의 모든 인증서가 즉시 무효화되었습니다. CA 보안이 매우 중요한 이유입니다.

인증서 투명성(CT)은 CA가 발급하는 모든 인증서를 공개된 추가 전용 로그에 기록하도록 요구합니다.

이를 통해 도메인 소유자는 자신의 허가 없이 도메인에 발급된 인증서를 탐지할 수 있으며, 악의적이거나 잘못 발급된 인증서를 찾아낼 수 있습니다.

CA를 선택할 때는 다음을 고려하세요.

• 브라우저와 기기 전반의 신뢰 범위
• 자동화 지원(ACME)
• 필요한 검증 수준(DV/OV/EV)
• 비용과 지원

모든 항목에 루트 CA로 서명하는 대신 중간 CA를 사용하는 이유는 무엇인가요?

인증 기관이 브라우저에서 신뢰하는 인증서를 발급하고 서명한다는 것을 배웠습니다.

• 신뢰는 오프라인 상태로 보관되는 루트 CA에서 중간 CA로 이어집니다.
• 검증은 DV, OV, EV 수준으로 나뉩니다.
• 인증서 투명성 로그는 잘못 발급된 인증서를 찾아냅니다.

다음으로 리프 인증서에서 루트 인증서까지 이어지는 신뢰 체인을 따라가 봅니다.