IETF가 2021년 9월 20일 RFC 9115 「An Automatic Certificate Management Environment (ACME) Profile for Generating Delegated Certificates」를 표준 제안(Proposed Standard)으로 발표했습니다. 이 문서는 자동 인증서 관리 환경(ACME) 프로토콜의 프로파일입니다. 도메인 이름 같은 식별자의 소유자가 제3자에게 X.509 인증서를 받게 할 수 있습니다. 이 인증서의 주체(subject)는 위임된 식별자이고, 인증서의 공개 키에 대응하는 개인 키는 제3자가 갖습니다. 기존 TLS 클라이언트와 서버는 바꿀 필요가 없습니다.
무엇이 발표되었나
대표 사례는 콘텐츠 전송 네트워크(CDN)입니다. CDN이 콘텐츠 제공자의 도메인으로 들어오는 HTTPS 연결을 대신 종료(terminate)하는 경우입니다. 원문은 콘텐츠 제공자가 장기 개인 키를 다른 조직과 나누기를 꺼리고, CDN도 다른 조직의 장기 비밀 값을 맡기를 원하지 않는다고 설명합니다.
문서에서 쓰는 역할은 다음과 같습니다.
- 식별자 소유자(IdO, Identifier Owner): 위임할 도메인 이름을 가진 쪽입니다.
- 이름 위임 소비자(NDC, Name Delegation Consumer): 일정 기간 이름을 위임받는 쪽입니다. 대표 사례에서는 CDN입니다.
동작 흐름은 다음과 같습니다.
- IdO가 프로파일이 적용된 ACME 서버 역할을 하고, NDC는 IdO에게 위임 식별자용 인증서를 요청합니다.
- IdO는 RFC 8739의 확장을 적용한 ACME로 인증 기관(CA)에 단기 자동 갱신(STAR, Short-Term, Automatically Renewed) 인증서 발급을 요청합니다.
- CA가 인증서를 자동으로 갱신하면 NDC가 이를 주기적으로 가져가 HTTPS 연결 종료에 씁니다.
- IdO가 위임을 끝내려면 CA에 자동 갱신을 멈추라고 지시하면 됩니다. 남은 인증서는 곧 만료됩니다.
수명이 긴 인증서도 이 방식으로 다룰 수 있습니다. 이때 IdO는 CA의 revokeCert URL로 인증서를 폐기합니다. 그 결과가 인증서 폐기 목록(CRL)과 온라인 인증서 상태 프로토콜(OCSP)을 거쳐 신뢰 당사자에게 전파되어야 위임이 끝납니다.
영향 범위
이 문서는 DNS 운영과도 관련이 있습니다. 위임할 식별자가 도메인 이름이면, NDC는 이름 별칭에 필요한 CNAME 매핑을 IdO에게 알려 줄 수 있습니다. 이 매핑은 IdO의 DNS 영역(zone)에 설정해야 합니다. 이렇게 하면 인증서 위임과 DNS 별칭 설정을 포함한 이름 위임 전체를 인터페이스 하나로 처리할 수 있습니다.
원문은 TLS 인증서 위임을 다루는 다른 표준화 작업도 소개합니다. TLS-SUBCERTS는 고객이 소유한 서명 인증서를 TLS 인증서 체인에 추가하는 방식이고, MGLT-LURK-TLS13은 서버 개인 키를 더 안전한 별도 구성 요소로 분리하는 방식입니다. 원문에 따르면 RFC 9115는 이들과 달리 클라이언트와 서버의 TLS 스택을 고치지 않아도 되고, TLS 연결에 지연도 더하지 않습니다.
운영자가 할 일
이 문서는 새 표준을 정의한 것이며 취약점 공지가 아닙니다. 당장 조치할 일은 없습니다. 다만 CDN 등 외부 사업자에게 HTTPS 서비스를 맡기고 있다면 다음을 검토해 볼 수 있습니다.
- 외부 사업자에게 장기 개인 키를 넘기고 있는지, 위임을 끝낼 때 인증서를 어떻게 회수하거나 폐기하는지 확인합니다.
- 위임 과정에서 자사 DNS 영역에 들어가는 CNAME 레코드를 누가 어떤 절차로 추가하고 지우는지 정리합니다.
- 실제로 도입하려면 RFC 9115와 함께 RFC 8739(STAR), RFC 8555(ACME)를 참고합니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.