루트 인증서는 인터넷 보안의 기둥 중 하나입니다. 이는 SSL/TLS 인증서, 디지털 서명 제공 등. 하지만 정확히 어떻게 작동하며 왜 그렇게 중요한 걸까요? 이 글에서는 루트 인증서에 대해 알아야 할 모든 것을 설명합니다.
루트 인증서란 무엇입니까?
루트 인증서는 SSL.com과 같은 인증 기관(CA)에서 발급하고 디지털 서명한 특수 디지털 인증서입니다. 인증서 계층 구조에서 최상위 수준의 신뢰를 나타냅니다. 루트 인증서는 발급된 인증서에 대한 최종 검증 소스이기 때문에 신뢰 앵커라고도 합니다.
CA가 웹사이트와 같은 엔터티에 인증서를 발급할 때 신뢰할 수 있는 루트로 추적하여 검증해야 합니다. 루트 인증서에는 신뢰 체인을 확인하는 데 필요한 공개 키가 들어 있습니다. 루트 인증서는 일반적으로 자체 서명되어 서명이 인증서의 개인 키로 생성됩니다.
모든 주요 웹 브라우저와 운영 체제에는 주요 인증 기관의 신뢰할 수 있는 루트 인증서가 미리 설치되어 있습니다. 이를 통해 SSL/TLS 웹 서버를 보호하고 식별하는 데 사용되는 인증서로, 브라우저가 해당 인증서가 신뢰할 수 있고 웹 서버가 보호된다는 것을 표시합니다. 마찬가지로 Adobe는 디지털 서명에 대해 신뢰할 수 있는 루트의 신뢰 저장소를 유지 관리하고 Microsoft는 코드 서명 서명에 대해 신뢰할 수 있는 루트의 신뢰 저장소를 유지 관리합니다.
신뢰의 계층
루트 CA는 중간 인증서와 최종 엔터티 인증서로 이어지는 인증 계층의 맨 위에 있습니다.
- SSL.com의 자체 서명 루트와 같은 루트 인증서는 최고의 신뢰를 나타냅니다.
- 중간 인증서 – 루트 CA가 서명한 인증서입니다.
- 최종 엔터티 인증서 - 사용자 및 서버에 발급되고 중간자가 서명함
업무를 분리함으로써, "발행 CA"라고도 알려진 중간 CA는 고도로 보호되는 루트 키에 액세스하지 않고도 매일 인증서를 발급할 수 있습니다. 루트 키는 오프라인으로 보관할 수 있으며, 중간 CA 및 타임스탬핑이나 CRL과 같은 기타 특수 인증서를 생성하는 데 가끔만 사용됩니다.
중간 기관이 디지털 인증서를 발급하면 발급 CA 서명과 루트로 다시 연결되는 인증서 체인이 포함됩니다. 이 체인은 최종 인증서를 검증하는 데 사용됩니다.
루트 인증서의 중요성 및 기능
루트 인증서는 여러 가지 중요한 기능을 수행합니다.
- 신뢰 앵커 - 신뢰 체인을 구축하는 신뢰 앵커입니다. 신뢰 앵커가 발급한 모든 인증서는 PKI 루트까지 추적하여 검증할 수 있습니다.
- 보안 웹 브라우징 – 보안 HTTPS 연결을 가능하게 합니다. 브라우저는 신뢰할 수 있는 루트에 체인을 연결하여 웹사이트 인증서를 확인합니다.
- 소프트웨어 확인 – OS 업데이트, 앱, 유틸리티 등과 같은 디지털 서명된 소프트웨어를 인증하는 데 사용됩니다. 서명은 루트와 비교됩니다.
- 통신 암호화 – 루트 서명과 함께 암호화를 활성화하여 안전한 이메일 및 데이터 전송을 가능하게 합니다.
- 루트 인증서가 없다면 인증서와 공개 키에 대한 신뢰를 구축할 중앙 집중식 메커니즘이 없을 것입니다. 이들은 공개 키 암호화를 뒷받침하는 권위 있는 신뢰 소스를 제공합니다.
주요 루트 인증 기관
Publicly Trusted Root 인증서 프로그램을 운영하는 기관은 약 60개입니다. SSL.com은 Root CA 역할을 하는 대표적인 예입니다. SSL 인증서가 필요한 도메인 소유자에게 중간 CA 인증서를 발급하기 전에 광범위한 검증 절차를 사용합니다. 당사의 루트 키는 보안 시설에서 하드웨어와 소프트웨어로 보호됩니다.
Microsoft, Apple, Mozilla, Oracle과 같은 주요 기관은 소프트웨어에서 기본적으로 신뢰할 루트 CA를 결정합니다. 마찬가지로 Adobe는 Adobe Reader에서 서명이 유효한 것으로 인식되는 문서 서명 인증서를 발급하는 데 신뢰할 수 있는 루트의 신뢰 저장소를 보유하고 있습니다. Microsoft는 브라우저 소프트웨어 외에도 코드 서명 인증서가 신뢰할 수 있는 루트의 신뢰 저장소를 유지 관리합니다. SSL.com과 같은 CA는 루트 저장소에 내장된 Publicly Trusted Certification Authority가 되기 위해 엄격한 요구 사항을 충족해야 합니다. 루트 CA 역할을 함으로써 외부 루트 기관에 의존하지 않고도 신뢰할 수 있는 인증서를 발급할 수 있습니다. 루트 인증서는 계층 구조의 신뢰 앵커 역할을 합니다.
브라우저 및 루트 인증서
웹 브라우저에는 주요 CA의 100개 이상의 신뢰할 수 있는 루트 인증서가 포함된 신뢰 저장소가 미리 로드되어 있습니다. 이를 통해 SSL/TLS HTTPS 웹사이트에 사용되는 인증서가 원활하게 작동합니다.
SSL로 보안된 웹사이트를 방문할 때TLS, 브라우저는 다음을 수행합니다.
- 웹사이트의 인증서와 중간 인증서 체인을 받으세요.
- 내장된 신뢰할 수 있는 루트 인증서로 신뢰 체인을 검증합니다.
- 도메인 이름이 웹사이트 인증서와 일치하는지 확인하세요.
- 보안 잠금 아이콘을 표시하고 암호화된 연결을 허용합니다.
브라우저에서 잘못된 인증서, 신뢰할 수 없는 루트 또는 도메인 이름 불일치가 발견되면 사용자에게 경고합니다.
브라우저에는 루트 CA를 보고 신뢰 결정을 내리기 위한 인증서 관리 도구도 있습니다. Chrome, Firefox, Edge, Safari를 사용하면 사용자가 루트 인증서를 보고, 내보내거나, 비활성화할 수 있습니다.
루트 인증서 설치 및 관리
OS와 브라우저에는 루트가 미리 설치되어 있지만 어떤 경우에는 추가 루트 인증서를 설치해야 할 수도 있습니다.
- 회사의 개인 정보를 신뢰하려면 PKI 인증서 체인
- 새로운 또는 익숙하지 않은 인증 기관을 사용하는 경우
- "신뢰할 수 없는 인증서" 오류 문제를 해결할 때
루트 인증서는 OS 수준에서 전역적으로 설치하거나 브라우저 또는 애플리케이션 수준에서 로컬로 설치할 수 있습니다. Windows에서 인증서 관리자가 신뢰할 수 있는 루트를 처리합니다. Mac에서 루트는 Keychain Access에 있습니다. Linux에서는 /etc/ssl 아래에 있습니다. SSL.com은 웹사이트에서 다운로드할 수 있는 루트 및 중간 인증서를 제공합니다.
새로운 루트를 설치할 때, 그것이 유효하고 평판 좋은 출처에서 온 것인지 확인하는 것이 중요합니다. 설치가 완료되면, 유효하지 않거나 손상된 루트는 신뢰할 수 없거나 삭제될 수 있습니다. 그러나 주요 공개 루트에 대한 신뢰를 취소하면 광범위한 애플리케이션 손상이 발생할 수 있습니다.
루트 인증서의 만료 및 갱신
루트 인증서는 20년 이상의 긴 수명을 가지고 있습니다. 하지만 결국 보안상의 이유로 만료됩니다. 루트가 만료에 가까워지면 CA는 새로운 루트를 출시하고 사용자와 소프트웨어를 전환하여 새로운 키를 신뢰해야 합니다.
만료되거나 오래되었거나 신뢰할 수 없는 루트 인증서의 영향은 다음과 같습니다.
- 브라우저에서 잘못된 인증서 경고
- 끊어진 인증서 체인으로 인해 연결 오류가 발생합니다.
- 소프트웨어가 서명 확인을 검증할 수 없습니다.
루트 만료를 관리하기 위한 모범 사례는 다음과 같습니다.
- 중복이 있는 장기 기간 동안 루트 키 갱신
- 병렬 루트와 중복되는 유효 기간 사용
- 클라이언트 소프트웨어 업데이트에서 새로운 루트 배포
- 전환이 완료된 후 기존 루트를 취소/제거
신뢰할 수 있는 통신과 소프트웨어 검증이 중단되는 것을 방지하려면 적절한 루트 인증서 수명 주기 관리가 중요합니다.
루트 인증서 키 보호
신뢰를 구축하는 데 있어 근본적인 역할을 하기 때문에 루트 인증서와 관련된 개인 키는 매우 높은 수준으로 보호되어야 합니다. 업계 표준은 다음을 권장합니다.
- 하드웨어 보안 모듈(HSM)과 같은 안전한 저장소에 키를 오프라인으로 보관
- 정교한 물리적 및 소프트웨어 보안 유지
- 필요할 때만 액세스하고 다중 당사자 제어를 사용합니다.
- 더 이상 필요하지 않을 경우 개인 키를 완전히 삭제합니다.
엄격한 키 의식 절차와 루트 CA의 업무 분리를 따르면 PKI 타협으로부터 믿음의 닻을 내리세요.
