클라우드플레어, 공용 인증 기관(CA) 설립 추진 및 양자 내성 인증서 계획 발표

공용 인증 기관 설립 추진

클라우드플레어는 공용 인증 기관(CA) 설립 의사를 공식 발표했다. 이는 지난 10년 이상 인터넷에서 가장 큰 공개 신뢰 인증서 소비자 중 하나였던 클라우드플레어가 직접 인증서를 발급하는 주체로 전환함을 의미한다. 클라우드플레어는 크롬, 애플, 마이크로소프트, 모질라의 루트 프로그램에 포함되기 위한 신청을 완료했다.

이와 함께 클라우드플레어는 글로벌사인으로부터 광범위하게 신뢰받는 기존 루트를 인수하는 최종 계약을 체결했다. 이를 통해 인증서 발급 시작과 동시에 가장 넓은 범위의 기기 호환성을 제공할 수 있을 것으로 기대한다. 또한, 크롬의 최근 발표된 양자 내성 루트 프로그램에 맞춰 양자 내성 인증서를 제공하는 최초의 CA 중 하나가 될 계획이다.

변화의 배경과 필요성

클라우드플레어는 2014년 유니버설 SSL을 도입하여 웹 암호화 사이트 수를 크게 늘리고 TLS를 기본으로 제공하는 데 기여했다. 그러나 현재 암호화된 웹의 대부분을 차지하는 무료 자동화 인증서 모델은 특정 운영자에 대한 의존도가 높아 시스템적 위험을 내포한다. 클라우드플레어는 이러한 위험을 분산하고 인터넷 전체의 복원력을 높이기 위해 자체 CA 설립을 추진한다.

클라우드플레어는 전 세계 인터넷 요청 트래픽의 20% 이상을 처리하며, 매년 수백만 개의 도메인에 대해 TLS를 종료하기 위해 수많은 인증서를 사용한다. 이 과정에서 CA의 속도 제한, 검증 오류, 해지 지연, 루트 배포 지연 등 다양한 문제점을 경험했다. 인증서의 최대 유효 기간이 단축되고 양자 내성 인증서가 주류가 됨에 따라 연간 필요한 인증서 수가 급증할 것으로 예상하며, 이러한 문제를 해결하고 인증서 공급망에 더 많은 공급자를 확보하는 것이 목표이다.

구체적인 운영 방안 및 기술

클라우드플레어 CA는 두 가지 경로를 통해 신뢰를 확보한다. 첫째, 2012년부터 브라우저, 운영 체제, 기기 전반에 걸쳐 신뢰받아 온 기존 글로벌사인 루트를 인수하여 업데이트가 중단된 구형 클라이언트를 포함한 광범위한 기기 호환성을 즉시 확보한다. 둘째, 미래의 생태계 변화에 맞춰 새로운 루트를 루트 키 프로그램에 제출하여 미래 정책에 부합하는 기반을 마련한다.

클라우드플레어는 CA의 신뢰성과 복원력을 극대화하기 위해 발행 조건으로 갱신 자동화를 의무화한다. RFC 9773에 표준화된 ACME 갱신 정보(ARI)를 지원하는 클라이언트에만 인증서를 발급하며, 구독자는 갱신 엔드포인트를 폴링하고 갱신 기간에 맞춰 교체 인증서를 식별하는 자동화 시스템을 유지해야 한다.

운영의 투명성을 위해 발행 스택과 운영을 공개하고, 인증서 서명 소프트웨어의 재현 가능한 빌드를 게시하며, 키를 보관하는 하드웨어 보안 모듈(HSM)을 증명할 예정이다. 또한, 발행 상태 및 사고를 위한 공개 대시보드를 운영하여 루트 프로그램, 연구원, 일반 사이트 소유자가 CA의 실제 운영을 감시할 수 있도록 한다.

양자 내성 인증서 도입

클라우드플레어는 인증서 기술의 미래를 선도하기 위해 2027년 1분기부터 프로덕션 환경에서 머클 트리 인증서(MTC)를 발행하는 최초의 CA 중 하나가 될 계획이다. MTC는 기존 인증서 체인이 TLS 핸드셰이크에 부담을 줄 만큼 커지는 양자 후 시대에 맞춰 설계된 새롭고 훨씬 더 압축적인 공개 신뢰 인증서 전달 방식이다.

클라우드플레어는 IETF에서 MTC에 대한 표준 기반 제안을 지지해 왔으며, 크롬은 올해 초 MTC를 양자 후 인증을 위한 선호 경로로 지정했다. 클라우드플레어는 클래식 인증서와 MTC를 하나의 CA, 하나의 수명 주기, 하나의 보증 세트 아래에서 제공하여 고객이 자신의 속도에 맞춰 채택하고 웹이 큰 전환 없이 양자 후 시대로 넘어갈 수 있도록 지원한다.

개발자 및 사용자 영향

클라우드플레어 CA는 기존의 지배적인 무료 CA에 대한 대안을 제공하여 웹의 시스템적 위험을 줄이고 인증서 공급망의 다양성을 높인다. ACME 기반의 자동화된 발급 및 갱신 방식은 기존 무료 CA 사용자에게 쉬운 전환 경로를 제공하여 새로운 도구 도입 없이도 서비스를 이용할 수 있게 한다.

기존 글로벌사인 루트와 새로운 루트를 모두 활용함으로써, 클라우드플레어 CA는 과거의 기기부터 미래의 정책까지 아우르는 가장 넓은 범위의 고객 호환성을 보장한다. 또한, 양자 내성 인증서의 선제적 도입은 미래의 양자 컴퓨팅 위협으로부터 웹을 보호하는 데 기여한다.

다만, 클라우드플레어 CA의 복원력 설계에 따라 구독자는 ACME Renewal Information(ARI) 지원 및 갱신 자동화 시스템 유지가 필수 조건이 된다. 이는 일부 사용자에게는 새로운 요구사항이 될 수 있다.

적용 조건 및 한계

클라우드플레어는 현재 인증서를 발급하고 있지 않으며, 발급까지는 다소 시간이 소요될 예정이다. 핵심 웹 루트 키 프로그램과의 신청 및 승인 절차는 공개적으로 진행되며, 2027년 초 첫 머클 트리 인증서 발급까지 지속적으로 업데이트를 공유할 계획이다.

양자 내성 인증서로의 전환은 점진적으로 이루어질 것으로 예상한다. 인터넷의 상당 부분은 향후 수년간 기존 인증서와 기존 웹PKI에 계속 의존할 것이며, MTC는 점진적으로 발행 점유율을 늘려갈 것이다. 클라우드플레어는 새로운 CA 역량을 구축하는 동안에도 수년간 협력해 온 파트너 공용 CA 네트워크와 긴밀히 협력할 방침이다.