TECH

안녕하세요. 오늘은 "SSL 47일 시대"에 대해 얘기해보려 합니다. 

우선 SSL 에 대해서 알아봐야겠죠~

SSL(Secure Sockets Layer)은 웹브라우저(사용자)와 웹서버(사이트) 간에 주고받는 데이터를 암호화하여 보호하는 '보안 통신 기술'입니다.

기술이 발전하면서 최신 버전인 TLS(Transport Layer Security)로 명칭이 바뀌었으나, 여전히 통상적으로 SSL 또는 SSL/TLS라고 부릅니다.

인터넷 주소창이 http:// 대신 https://로 시작하고 자물쇠 아이콘이 떠 있다면, 해당 사이트에 SSL 인증서가 적용되어 안전하게 암호화 통신 중이라는 뜻입니다.

쉽게 비유하자면, 일반 통신(HTTP)이 누구나 열어볼 수 있는 '엽서'를 보내는 것이라면, SSL 통신(HTTPS)은 내용을 아무나 볼 수 없도록 '암호화된 튼튼한 금고'에 넣어 전송하는 것과 같습니다.

>> SSL이 왜 필요한가요? (3가지 핵심 이유)

(1) 데이터 암호화 (도청 및 탈취 방지)

아이디, 비밀번호, 결제 정보(신용카드), 개인정보 등을 입력할 때 중간에서 해커가 데이터를 훔쳐보더라도 알아볼 수 없는 암호문 형태로 보호합니다.

(2) 신원 검증 (피싱 및 가짜 사이트 방지)

공인된 인증기관(CA)이 "이 사이트는 진짜 해당 기업의 공식 웹사이트가 맞다"고 보증해 줍니다. 이를 통해 사용자가 겉모습만 똑같이 만든 사기/피싱 사이트에 속는 것을 예방합니다.

(3) 데이터 위변조 방지

데이터가 서버로 이동하는 과정에서 해커가 내용을 몰래 수정하거나 악성코드를 집어넣지 못하도록 데이터의 완전성을 보장합니다.

꼭 필요한 이 SSL이 업데이트 기간이 단축됩니다. ~

1. SSL 인증서 유효기간의 역사 (과거에는 어땠을까?)불과 몇 년 전만 해도 웹사이트 운영자는 한번 인증서를 발급받으면 몇 년 동안 잊고 지내도 문제가 없었습니다.  

~2015년 이전: 최대 5년까지 발급 가능

2015년 ~ 2018년: 최대 3년으로 축소   

2018년 ~ 2020년: 최대 2년으로 축소

2020년 9월 이후: 애플(Apple)의 주도로 1년(398일)로 축소   

2026년 이후: 200일 → 100일 → 47일로 대폭 단축   

요작하자면: 5년에서 시작했던 유효기간이 1년이 되었다가, 결국 약 1.5개월 수준인 47일까지 줄어들게 되었습니다.   

2. '47일 단축'은 언제부터 시작되고 진행되나요?

CA/Browser Forum(인증기관 및 브라우저 연합)의 표준 결정(Ballot SC-081v3)에 따라 단계적으로 적용됩니다.   

적용 일자 최대 유효기간 도메인 소유권 재검증(DCV) 주기

2026년 3월 15일이전 398일 (약 1년) 398일

2026년 3월 15일부터 200일 (약 6.5개월) 200일

2027년 3월 15일부터 100일 (약 3개월) 100일

2029년 3월 15일부터 47일 (약 1.5개월) 10일

참고: 기존에 발급받은 인증서는 만료일까지 유효하지만, 적용일 이후 신규/재발급받는 인증서부터 해당 기간 제한이 적용됩니다.

3. 누가 주도하고 참여했나요?

이번 단축 정책을 주도한 핵심 세력은 빅테크 브라우저 제안자들입니다.   

- 주요 주도 업체: Google(Chrome) 및 Apple(Safari)   

  당초 구글은 90일 단축을 제안했으나, 애플의 47일 최종 가이드라인 및 CA/B Forum의 표준 승인을 통해 47일 단계적 로드맵이 최종 확정되었습니다.   

- 의결 및 참여 기관: CA/Browser Forum   

 . 브라우저 개발사: Google, Apple, Mozilla(Firefox), Microsoft   

 . 인증서 발급기관(CA): DigiCert, Sectigo, GlobalSign, Let's Encrypt 등

4. 왜 이렇게 줄이는 건가요? (도입 배경)

1) 해킹 피해 기간 최단화 (보안 강화)

  . 해커가 서버의 암호화 키(Private Key)를 탈취하더라도, 인증서가 47일 뒤에 자동 만료되므로 피해를 지속할 수 있는 시간이 대폭 줄어듭니다.   

2) 보안 유출·인증서 오발급 시 빠른 회수

  . 취약점이 발견되거나 잘못 발급된 인증서를 폐기(Revocation)하는 기존 복잡한 절차 대신, 짧은 유효기간을 통해 자연스럽게 교체되도록 유도합니다.   

3) 양자 컴퓨팅 시대를 대비한 보안 민첩성(Crypto-Agility)

  . 향후 암호화 알고리즘을 최신 알고리즘으로 전 세계 웹에 빠르게 적용하려면, 긴 유효기간을 가진 인증서가 장애물이 됩니다.

5. 우려되는 점과 발생할 문제들 (핵심 포인트!)

1) 수동 관리의 한계와 웹사이트 먹통(Outage) 위험

 - 일년에 1번 하던 작업을 일년에 8번 이상 해야 합니다.

 - 사람이 직접 담당하다가 갱신일을 깜빡 놓치면, 웹사이트 접근 시 '안전하지 않은 사이트' 경고가 뜨며 접속이 차단됩니다.

2) 관리 비용 및 업무 과중   

 - 기업 내부의 수십~수백 개 웹용 서버, API 서버 등의 인증서를 일일이 관리하는 IT/보안팀의 업무 부담이 급증합니다.

3) 인증 방식(DV/OV/EV)의 번거로움   

 - 도메인 소유권 검증(DCV) 주기도 2029년까지 10일 수준으로 짧아져, 수동 인증 처리가 아예 불가능해집니다.

6. 내 사이트의 SSL 만료일 확인 방법

1) 웹 브라우저에서 직접 확인:

웹사이트 접속 후 주소창 좌측의 '자물쇠(또는 설정 아이콘)' 클릭'

연결이 안전함' ->  '인증서가 유효함' 선택

표시되는 '만료일(Valid until)' 정보 확인

2) 개발자 도구(F12) 활용:

   F12. ->  Security 탭 ->  View Certificate 클릭

3) 온라인 점검 도구 이용:

SSL Labs Test 등에 사이트 URL 입력 후 만료일 및 보안 등급 확인 

7. 결론 및 대처 방법: "자동화(Automation)가 필수"

47일 시대의 결론은 명확합니다. "사람이 직접 관리하던 시대는 끝났다"는 점입니다.   

 - ACME 프로토콜 도입: Let's Encrypt, Certbot, Cert-Manager 등 무료/자동화 프로토콜 기반 갱신 시스템 구축

 - 기업용 CLM(Certificate Lifecycle Management) 솔루션 도입: Sectigo, DigiCert 등의 기업용 자동 갱신 및 모니터링 툴 적용

8. 레드햇 앤시블이 대안이 될수있나요? 

레드햇 앤시블(Red Hat Ansible)은 도움이 되는 수준을 넘어 기업 환경에서 SSL/TLS 인증서 자동화를 구현할 때 가장 추천하는 대표적인 솔루션 중 하나입니다.

단순히 웹서버 하나의 인증서를 바꿀 때는 ACME 프로토콜(Certbot 등)을 쓰면 되지만, 수십~수백 대의 서버, 방화벽, 로드밸런서(F5, NetScaler 등), Kubernetes 클러스터를 운영하는 기업 환경에서는 ACME만으로 해결하기 어렵기 때문입니다.

엔터프라이즈 환경의 강력한 구원투수: '레드햇 앤시블(Ansible)'

SSL 47일 시대에 맞서 수백 개에 달하는 기업 내부 서버와 네트워크 장비의 인증서를 사람이 일일이 바꾸는 것은 불가능에 가깝습니다. 이때 가장 강력한 자동화 카드로 떠오르는 것이 바로 Red Hat Ansible Automation Platform입니다.

앤시블(Ansible)이 SSL 47일 시대에 필수적인 이유

1) 에이전트리스(Agentless) 구조의 뛰어난 편의성

대상 서버나 장비마다 별도의 감시 프로그램(Agent)을 설치할 필요 없이 SSH/API 접속만으로 제어합니다.

덕분에 에이전트 설치가 불가능한 L4/L7 스위치, 방화벽, F5 로드밸런서 같은 전문 네트워크 장비의 SSL 인증서까지 통합 자동화할 수 있습니다.

2) 인증서 발급부터 서버 재부팅(Reload)까지 일괄 처리

단순히 인증서 파일만 내려받는 게 아니라, [인증서 갱신 -->  웹서버(Nginx/Apache/Tomcat) 적용 --> 서비스 재시작 --> 접속 테스트]까지의 전체 과정을 하나의 플레이북(Playbook)으로 묶어 자동화합니다.

3) 중앙 집중형 만료일 모니터링 및 주기적 스케줄링

Ansible Automation Controller(구 Tower)를 활용하면 수백 대 서버의 SSL 만료일을 주기적으로 스캔하고, 만료 10일 전 자동으로 플레이북을 실행해 갱신하도록 예약할 수 있습니다.

4) 검증된 전용 컬렉션 제공 (crypto / acme 컬렉션)

레드햇은 SSL/TLS 관련 작업을 쉽게 구현할 수 있도록 community.crypto 및 다양한 보안 관련 전용 모듈을 기본으로 제공합니다. 몇 줄의 코드(YAML)만 작성하면 CSR 생성, Private Key 관리, ACME 통신이 완료됩니다.

미래에 대한 대비를 해야겠네요~^^

긴글 읽어주셔서 감사합니다.