TLS 인증서 유효기간이 줄어든다는 소식에 많은 기업 담당자들이 "왜 우리가 이 부담을 감수해야 하나"라는 반응을 보입니다. 그러나 이 변화의 진짜 목적은 갱신 횟수를 늘리는 것이 아닙니다. 다음 대형 보안 사고가 터졌을 때 조직이 살아남을 수 있는 인프라를 미리 갖추는 것입니다.
DigiCert의 Timothy Hollebeek이 CA/Browser Forum 논의 현장에서 직접 체득한 시각을 바탕으로 이 변화의 본질을 설명합니다.
인증서 유효기간 단축이 실제로 중요한 이유
CA/Browser Forum 회의를 충분히 경험한 사람으로서 말씀드리자면, 인증서 유효기간 논쟁은 열기에 비해 실질적인 논의가 부족한 편입니다. 일정은 이미 확정되었습니다. TLS 유효기간은 2026년 3월에 200일로 줄었고, 2027년에는 100일, 2029년 3월에는 47일까지 단축됩니다. 같은 일정으로 도메인 검증 재사용 기간도 10일까지 줄어듭니다.
고객에게 이 내용을 설명하면 예측 가능한 반응이 돌아옵니다. "개인 키가 실제로 침해되고 있다는 증거가 어디 있습니까? 그런 일이 벌어지고 있다면 훨씬 더 큰 문제가 있는 것 아닌가요?"
틀린 말은 아닙니다. 그러나 핵심을 놓치고 있습니다.
Heartbleed를 기억하십니까?
2014년 4월, OpenSSL의 heartbeat 확장 기능에서 취약점이 발견되었습니다. 공격자는 이 취약점을 통해 서버 메모리를 64KB 단위로 읽어낼 수 있었습니다. 해당 메모리에는 세션 토큰, 사용자 자격증명, 그리고 개인 키까지 포함될 수 있었습니다. 이 버그는 발견되기 전까지 2년간 이미 존재하고 있었습니다. 취약점 자체도 심각했지만, 대응 과정은 더 심각했습니다. 서버 운영자들은 OpenSSL 패치, 개인 키 재생성, 새 인증서 발급, 배포를 이상적으로는 몇 시간 안에 완료해야 했습니다.
실제로는 어땠을까요? 잠재적으로 침해된 키를 가진 채로 수 주, 어떤 경우에는 수 개월을 운영한 서버들이 있었습니다. 인증서가 어디에 배포되어 있는지 문서화되어 있지 않았고, 자동으로 교체할 수단도 없었으며, 긴급 교체 절차를 테스트한 적도 없는 조직들이 대부분이었습니다.
당시 인증서는 최대 5년까지 유효했습니다. 인증서 관리 프로세스도 그 속도에 맞춰 설계되어 있었습니다. 위기가 닥쳤을 때, 대응할 인프라가 갖춰져 있지 않았습니다. 이것이 인증서 유효기간 단축이 해결하려는 실제 보안 문제입니다. 일상적인 키 침해 대응이 아니라, 다음 번 Heartbleed 사태에서 살아남는 것입니다.
민첩성이 핵심입니다
이 변화를 추진하는 브라우저 벤더들은 운영 부담을 모르지 않습니다. 이들이 하는 것은 계산된 베팅입니다. 빈번한 인증서 교체를 생태계 전체에 강제함으로써, 실제로 필요한 순간에 신속하게 대응할 수 있는 역량을 조직이 갖추도록 하는 것입니다.
47일마다 인증서를 배포해도 아무 문제가 없는 조직이라면, 이미 긴급 교체도 가능하다는 것을 증명한 것입니다. 자동화가 갖춰져 있고, 인벤토리 가시성이 확보되어 있으며, 프로세스를 수백 번 테스트한 상태이기 때문입니다.
반면 스프레드시트와 캘린더 알림에 의존해 연 1회 갱신하는 방식으로 인증서를 관리하고 있다면, 다음 대형 취약점이 공개될 때 매우 어려운 상황에 처하게 됩니다.
부수적인 효과도 있습니다. 짧은 유효기간은 인증서 폐기 체계에 대한 의존도를 낮춰줍니다. 인증서 폐기 체계는 본래 신뢰성이 완전하지 않습니다. 일부 브라우저는 프라이버시 이유로 OCSP를 기본적으로 확인하지 않으며, CRL은 규모가 커지면 관리가 어려워집니다. 인증서가 수개월이 아닌 수 주 만에 자연 만료된다면, 폐기 체계가 제대로 작동하지 않더라도 침해된 인증서가 악용될 수 있는 시간 자체가 줄어듭니다.
양자 컴퓨팅과의 연결
요즘 포스트 양자 암호(PQC) 관련 업무에 많은 시간을 쏟고 있는데, 한 가지 분명한 것이 있습니다. 기본적인 인증서 관리에 어려움을 겪는 조직은 앞으로 다가올 변화에 압도될 것입니다. 양자 내성 알고리즘으로의 전환은 인프라 내 모든 인증서를 다시 건드려야 하는 작업이며, 표준이 성숙해가면서 여러 차례 반복될 수도 있습니다.
이 전환을 감당할 수 있는 조직은 지금부터 암호화 민첩성을 구축하는 조직입니다. 완전한 인증서 인벤토리, 자동화된 배포 파이프라인, 알고리즘을 교체해도 혼란이 없는 체계가 그 기반입니다. 인증서 유효기간 단축은 정확히 이런 방향의 현대화를 강제하고 있습니다. 항상 편안한 과정은 아니지만, 필요한 일입니다.
지금 무엇을 해야 하는가
전환 일정이 준비할 시간을 주고 있지만, 생각만큼 여유롭지 않습니다. 인증서 라이프사이클 자동화를 아직 시작하지 않으셨다면, 지금이 시작할 때입니다.
보안 인프라는 교량과 같습니다. 무너졌을 때만 주목받습니다. 업계는 다음 붕괴를 미리 막으려 하고 있습니다. 실행 방식이 완벽한지는 별개의 논의이지만, 더 민첩하고 더 탄력적인 웹 PKI를 구축하려는 방향 자체는 옳습니다.
클라우드네트웍스는 DigiCert의 공식 파트너로서, TLS 인증서 유효기간 단축에 따른 자동화 체계 구축과 인증서 라이프사이클 관리 전반을 지원하고 있습니다. 2026년부터 시작된 단계적 전환에 대비한 전략이 필요하시다면 클라우드네트웍스에 문의하시기 바랍니다.
▶ 디지서트(DigiCert) TLM 자세히보기
