SCT와 Merkle Tree 기반 CT 도입으로 인증서 오발급 탐지 시간 단축

Context

CA의 단독 권한으로 인증서를 발급하던 Trust-me 모델의 불투명성으로 인한 보안 취약점 존재. CA 침해나 설정 오류 시 도메인 소유자가 인지하지 못한 채 위조 인증서가 전 세계 브라우저에서 신뢰받는 구조적 한계 발생.

Technical Solution

• Append-only Merkle Tree 구조를 통한 인증서 기록의 무결성 보장 및 암호학적 검증 체계 구축
• CA가 인증서 제출 후 수령하는 SCT(Signed Certificate Timestamp)를 통해 로그 등록 예정 상태를 증명하는 Prove-it 모델 전환
• 브라우저가 TLS Handshake 과정에서 SCT 존재 여부 및 유효성을 검증하여 비정상 인증서의 신뢰 체인 차단
• CAA(Certification Authority Authorization)의 예방적 통제와 CT의 사후 탐지 기능을 결합한 다층 방어 체계 설계
• 독립적인 Log Operator 운영을 통해 특정 로그 서버의 조작 가능성을 배제한 분산 신뢰 구조 채택

Impact

• 무단 인증서 탐지 시간을 기존 수주 단위에서 수시간 이내로 단축
• 100억 개 이상의 인증서 로깅을 통한 공개 감사 가능성 확보
• Chrome 및 Apple 등 주요 브라우저의 CT 준수 강제로 인해 SCT 미보유 인증서의 신뢰 거부 구현