HTTPS 인증서 업계는 Chrome 루트 프로그램과 CA/Browser 포럼이 새로운 보안 요건을 채택함에 따라 도메인 제어권을 확인하는 기존 방법 11가지를 단계적으로 폐지할 예정이다. 폐지될 방법은 일반 우편, 전화 통화, 전자 메시지 등 더 취약한 신호에 의존하는 반면, 새로운 규정은 자동화되고 암호학적으로 검증 가능한 대안의 사용을 장려한다.
Chrome 루트 프로그램 팀에 따르면, 영향을 받는 웹사이트 운영자에게 전환 시간을 제공하기 위해 폐지 절차는 단계적으로 적용된다. 이 조치의 보안상 효과는 2028년 3월까지 완전히 실현될 예정이다. 이 계획은 2022년에 시작된 일반 로드맵인 «함께 앞으로 나아가기»와 연계되어 있으며, 최근 TLS 기본 요건 업데이트를 통해 이러한 방향이 업계 정책으로 전환되고 있다.
도메인 제어권 확인이란?
도메인 제어권 확인은 인증서 발급 전에 거치는 핵심 단계다. 인증 기관(CA)은 신청자가 보호하려는 도메인을 실제로 통제하고 있는지 확인해야 한다. 이를 통해 권한이 없는 주체가 소유하지 않은 웹사이트에 유효한 인증서를 발급받는 것을 막으며, 이는 웹사이트 사칭이나 트래픽 가로채기로 이어질 수 있다.
현대적인 방법은 대체로 «챌린지와 응답» 방식을 사용한다. 인증 기관은 간접적인 연락처 정보에만 의존하는 대신 신청자에게 특정 위치, 예를 들어 DNS TXT 레코드에 무작위 값을 배치하도록 제공한 뒤 그 값의 존재를 확인할 수 있다. 반면 기존 방법은 WHOIS 기록에서 추출한 연락처 정보를 사용하거나 도메인과 연결된 주소로 메시지를 보냈으며, 이러한 방식은 취약점에 노출되는 것으로 확인됐다.
폐지될 방법
이메일 기반 방법은 다음과 같다.
- 도메인 연락처로 이메일, 팩스, 문자 메시지 또는 일반 우편을 보내는 방법.
- IP 주소 연락처로 이메일, 팩스, 문자 메시지 또는 일반 우편을 보내는 방법.
- 도메인 연락처로 생성된 이메일.
- DNS CAA 연락처로 보내는 이메일.
- DNS TXT 연락처로 보내는 이메일.
전화 기반 방법은 다음과 같다.
- 도메인 연락처로 전화하는 방법.
- DNS TXT 레코드 연락처로 전화하는 방법.
- 전화 통화.
- DNS CAA 연락처로 전화하는 방법.
- IP 주소 연락처로 전화하는 방법.
또한 주소 역방향 조회에 의존하는 방법 하나도 폐지되며, 이는 IP 주소 역방향 조회다.
웹사이트와 사용자에게 미치는 영향
일반 사용자는 이러한 변화를 직접 알아차리지 못할 것이며, Chrome 루트 프로그램 팀에 따르면 이는 의도된 결과다. 그러나 오래되었거나 간접적인 신호를 제거하면 공격자가 인증 기관을 속여 자신이 통제하지 않는 도메인에 대한 인증서를 발급받기가 더 어려워진다.
새로운 규정은 오래된 WHOIS 데이터, 복잡한 이메일 및 전화 환경, 레거시 인프라가 오용될 위험을 줄이는 것을 목표로 한다. 또한 웹사이트 소유자가 ACME와 같이 현대적이고 표준화되며 감사 가능한 방법을 채택하도록 유도함으로써 자동화를 통해 인증서 수명 주기를 더욱 빠르고 효율적으로 관리할 수 있게 한다. 루트 프로그램 팀은 이러한 조치가 인터넷 신뢰 구축 메커니즘의 약한 연결고리를 제거해 다양한 브라우저, 플랫폼 및 웹사이트 사용자의 브라우징 안전성을 높인다고 본다.