피드로 돌아가기
Dev.toSecurity
원문 읽기
2029년 SSL/TLS 인증서 유효기간 47일 제한 및 ACME 자동화 필수 시대 도래
Why Do SSL/TLS Certificate Lifetimes Keep Getting Shorter? — Everything You Need to Know for the 47-Day Era
AI 요약
Context
Private Key 유출 시 대응을 위한 Certificate Revocation 매커니즘인 CRL과 OCSP의 구조적 결함으로 인해 실질적인 폐기 통제가 불가능한 상황임. 이에 따라 인증서 유효기간 자체를 단축하여 공격자의 Key 활용 가능 시간인 Blast Radius를 강제로 제한하는 전략 채택함.
Technical Solution
- CRL의 거대한 파일 크기로 인한 네트워크 오버헤드 및 OCSP의 Soft-fail 정책으로 인한 보안 취약점 해결을 위해 유효기간 단축 추진
- CA/Browser Forum의 SC-081v3 Ballot에 따른 단계적 유효기간 축소(200일 → 100일 → 47일) 적용
- 수동 갱신 불가능 지점 도달에 따른 ACME 프로토콜 기반의 Full Automation 아키텍처 전환 강제
- DCV(Domain Control Validation) 재사용 기간을 10일로 제한하여 인증 주기 밀도 강화
- Post-Quantum Cryptography 전환에 대비한 Crypto Agility 확보를 위해 인증서 교체 주기 단축 설계
실천 포인트
1. 현재 사용 중인 모든 Public TLS 인증서의 갱신 프로세스 ACME 자동화 여부 점검
2. 2027년 Phase 2(100일) 및 2029년 Phase 3(47일) 로드맵에 따른 인프라 업데이트 계획 수립
3. Private PKI 운영 시에도 SPIFFE/SPIRE와 같은 Short-lived Certificate 모델 도입 검토