Cloudflare는 10년 넘게 신뢰할 수 있는 인증서의 주요 소비자로 지내면서도 직접 발급하지 않았던 끝에, 공개 인증 기관(CA) 시장에 진입할 의향을 발표했습니다. 초기 단계로는 Chrome, Apple, Microsoft, Mozilla의 신뢰 루트 프로그램 가입 신청서를 제출하고, GlobalSign으로부터 기존의 광범위하게 신뢰받는 루트를 인수하기 위한 최종 계약을 체결했습니다.
회사는 기존 루트가 제공하는 호환성 범위와 향후 WebPKI 생태계의 요구 사항에 맞게 설계된 새로운 루트를 결합하는 것을 목표로 합니다. Cloudflare는 해당 GlobalSign 루트가 2012년부터 브라우저, 운영 체제 및 기기에서 신뢰받아 왔으며, 새로운 루트 업데이트를 쉽게 받지 못할 수 있는 구형 기기도 포함한다고 밝혔습니다. 거래는 아직 완료되지 않았으며, Cloudflare도 아직 사용자에게 인증서를 발급하기 시작하지 않았습니다.
자동화에 기반한 무료 대안
Cloudflare는 인증서 발급 및 갱신을 위한 주요 진입점으로 ACME 프로토콜을 채택할 예정입니다. 이는 현재 무료 인증 기관을 사용하는 고객이 원칙적으로 새 도구를 구축하거나 운영 인프라를 재설계하지 않고 디렉터리 주소를 변경하는 방식으로 이전할 수 있음을 의미합니다.
회사는 이번 조치를 무료 인증서 시장의 다양성을 높이는 수단으로도 제시합니다. Let's Encrypt가 매일 약 1,000만 개의 인증서를 발급하고, 5억 개가 넘는 웹사이트를 지원하며, 2025년에 활성 인증서 수가 40억 개를 넘어섰다고 지적합니다. Cloudflare에 따르면 인터넷이 하나의 무료 기관에 크게 의존하면 해당 기관이 운영 문제를 겪을 경우 시스템이 광범위한 혼란에 노출됩니다.
Cloudflare는 실제로 무엇을 바꾸게 되는가?
Cloudflare는 수백만 개의 도메인에 대한 인증서 운영 경험을 바탕으로 합니다. 회사는 자사의 서비스가 TLS를 종료하고 여러 인증 기관과 기본 및 백업 경로를 통해 매년 수백만 개의 인증서를 사용한다고 밝혔습니다. 이러한 경험을 통해 속도 제한, 복잡한 검증 사례, 해지 지연, 신뢰 체인 구축, 루트 배포 지연을 직접 다뤄 왔습니다.
회사는 RFC 9773에 명시된 표준인 ACME Renewal Information (ARI) 지원을 발급 조건으로 삼을 예정입니다. 고객은 갱신 지점을 모니터링하고, 갱신 기간을 추적하며, 교체할 인증서를 식별하는 자동화를 실행해야 합니다. 또한 Cloudflare는 서명 계층을 위한 재현 가능한 소프트웨어를 공개하고, 키를 보관하는 하드웨어 보안 모듈에 관한 증명을 제공하며, 발급 상태와 사고를 모니터링할 수 있는 공개 대시보드를 운영하겠다고 밝혔습니다.
양자 이후 인증서를 위한 준비
Cloudflare는 프로덕션 환경에서 Merkle Tree Certificates (MTCs)를 발급하는 최초의 인증 기관 중 하나가 되는 것을 목표로 하며, 첫 인증서 발급 시점을 2027년 1분기로 잡고 있습니다. 회사는 전통적인 대형 인증서 체인이 양자 이후 환경에서 TLS 핸드셰이크 처리에 대한 부담을 높일 수 있는 시점에, 이러한 인증서가 신뢰할 수 있는 인증서를 더 효율적으로 전달하는 방법이라고 설명합니다.
Cloudflare는 Chrome이 MTC를 양자 내성 인증을 위한 선호 경로로 지목했으며, IETF 내에서 표준에 기반한 제안을 지원하기 위해 작업하고 있다고 밝혔습니다. 전환이 즉시 이뤄지지는 않을 전망입니다. 회사는 고객이 점진적으로 이전할 수 있도록 동일한 기관과 동일한 수명 주기 아래에서 두 유형을 제공하면서, 전통적인 인증서가 수년간 계속 사용될 것으로 예상합니다.
제약과 다음 단계
Cloudflare는 여전히 주요 루트 프로그램에서 인증 신청 및 승인을 받는 단계에 있으며, 전통적인 공개 발급을 시작할 시점은 정하지 않았습니다. GlobalSign 루트 인수는 계획의 핵심 부분이지만, 새로운 루트 프로그램의 요구 사항을 완료하는 것을 대신하지는 않습니다.
certi.news의 편집적 해석에 따르면, 이번 발표의 중요성은 일반적으로 별도로 다뤄지는 두 가지 목표를 결합한다는 데 있습니다. 즉, 자동화된 무료 인증서 발급 시장에 추가 경쟁자를 제공하는 것과, 양자 이후 요구 사항의 등장에 따라 WebPKI 인증서 구조가 변화하는 데 대비하는 것입니다. 그러나 프로젝트의 실질적인 가치는 루트 프로그램의 승인, 인수의 성공 여부, 그리고 특히 대규모 해지 및 갱신 작업을 처리할 때 발표의 범위를 넘어 Cloudflare가 신뢰성과 투명성을 입증할 수 있는지에 따라 나중에 결정될 것입니다.