- 글로벌사인 기존 루트 CA 키 자료 인수 추진…구형 기기 호환 유지하며 2027년 1분기 MTC 발급
클라우드플레어가 기존 TLS 인증서와 양자 내성 머클 트리 인증서(MTC)를 지원하는 공개 인증기관(CA) 설립에 나선다. 글로벌사인(GlobalSign)이 보유한 기존 공인 루트 CA의 키 자료를 인수해 최신 소프트웨어를 지원하지 않는 구형 기기에서도 새 인증서를 인식하도록 할 계획이다. 실제 서비스용 MTC는 2027년 1분기부터 발급할 예정이다.
기존 TLS 유지하며 MTC로 전환
웹사이트는 CA가 발급한 인증서를 이용해 신원을 증명하고 사용자와 웹사이트 사이의 연결을 암호화한다. 현재 웹 공개키 인프라(Web PKI)는 인증서 발급이 소수 주요 기관에 집중돼 있으며, 상당수 인증서 인프라는 양자 컴퓨팅이 실질적인 보안 위협으로 떠오르기 전에 마련됐다. 클라우드플레어는 새 공개 CA에서 기존 TLS 인증서와 차세대 MTC를 함께 지원할 계획이다. 웹사이트 운영자는 하나의 통합 시스템에서 두 인증서를 관리하면서 기존 인증서를 한 번에 교체하지 않고 단계적으로 양자 내성 보안 체계로 전환할 수 있다.
MTC는 클라우드플레어가 공동 작성자로 참여한 국제인터넷표준화기구(IETF) 초안 사양을 기반으로 한다. 신뢰할 수 있는 레지스트리에 인증서가 등록됐는지를 간소화된 방식으로 검증해 연결할 때마다 용량이 큰 양자 내성 서명을 전송할 필요가 없다. 이를 통해 양자 내성 인증서를 적용하면서 발생하는 성능 부담을 줄인다.
기존 루트 CA 인수해 구형 기기까지 연결
클라우드플레어는 소프트웨어 업데이트가 중단된 구형 스마트폰과 운영체제에서도 새 인증서를 사용할 수 있도록 글로벌사인의 기존 공인 루트 CA 키 자료를 인수하기로 합의했다. 루트 인증서는 브라우저와 기기가 특정 CA를 신뢰할지 판단하는 기준으로, 기존 루트를 활용하면 최신 소프트웨어를 설치하지 못하는 기기에서도 클라우드플레어가 발급한 인증서를 인식할 수 있다. 크롬과 애플, 마이크로소프트, 모질라의 루트 프로그램에도 각 기업이 정한 절차에 따라 등록을 신청했다. 기존 루트 CA 키 자료 인수와 신규 루트 프로그램 등록을 함께 추진해 발급 인증서를 다양한 브라우저와 기기에서 빠르게 사용할 수 있도록 할 계획이다.
클라우드플레어 매튜 프린스(Matthew Prince) CEO는 “양자 컴퓨터가 기존 웹 보안을 무력화하기 전에 인터넷 전반의 보안 체계를 전환하려면 전례 없는 수준의 협력이 필요하다”며 “기존 기기에 대한 지원과 새로운 양자 내성 기술의 균형을 통해 지속적인 안전망을 제공할 것”이라고 밝혔다.
자동 갱신으로 대규모 인증서 교체
새 공개 CA는 운영·기술 정보를 공개하고 누구나 같은 결과를 검증할 수 있는 재현 가능한 코드 빌드와 실시간 상태 대시보드를 제공할 예정이다. 인터넷 커뮤니티가 CA 운영 상태를 직접 확인하도록 투명성을 높이는 방식이다. 인증서 교체에는 자동 갱신 신호(RFC 9773)를 활용한다. 수백만 개 웹사이트의 인증서를 백그라운드에서 교체해 인증서 해지나 보안 업데이트 과정에서 대규모 접속 장애가 발생할 위험을 줄이는 데 초점을 맞췄다. 클라우드플레어는 크롬과 실험을 통해 MTC 적용 가능성을 확인했으며 실제 서비스용 인증서 발급을 준비하고 있다.
유니버설 SSL에서 양자 내성 인증서로
클라우드플레어는 2014년 ‘유니버설 SSL(Universal SSL)’을 출시해 수백만 개 웹사이트에 무료 TLS 인증서를 제공했다. 회사에 따르면 당시 웹에서 암호화된 트래픽 규모가 하룻밤 사이 두 배로 늘었다. 새 공개 CA는 브라우저 루트 프로그램의 신청과 승인 절차가 끝나는 대로 기존 방식의 인증서 발급을 시작한다. 실제 서비스용 MTC는 2027년 1분기부터 발급할 계획이며, 글로벌사인 공인 루트 CA 키 자료 인수는 통상적인 거래 종결 조건을 거쳐 향후 2개월 이내 완료될 전망이다.
#클라우드플레어 #Cloudflare #양자내성보안 #MTC #머클트리인증서 #TLS #공개인증기관 #CA #WebPKI #포스트퀀텀 #사이버보안
