Proven by Intelligence

앞선 1부에서 우리는 인증서의 개념과 필요성을 살펴봤습니다. 

​

이번 2부에서는 인증서의 구조가 어떻게 설계되었는지, 그리고 전 세계적으로 CA가 어떤 방식으로 관리되는지 알아봅니다.

1. 인증서 구조: Root, Intermediate, Leaf​

(1) 계층적 구조의 필요성

인증서는 단일한 문서가 아니라, 계층적으로 연결된 “신뢰 사슬(Chain of Trust)” 형태를 가지고 있습니다.

① Root CA

• 신뢰의 절대적인 출발점
• 브라우저와 OS에 사전 탑재
• 직접 발급은 최소화

② Intermediate CA

• 실제 인증서 발급 담당
• 보안 정책, 사용 목적에 따라 구분 운영
• Root CA가 위임한 권한을 행사

③ Leaf (End-Entity) 인증서

• 사용자가 실제로 접하는 서버, 개인, 코드 서명 인증서
• 예: www.google.com 인증서

​

사용자가 어떤 서버에 접속할 때, 브라우저는 Leaf 인증서를 받은 뒤, Intermediate → Root 순으로 이어지는 체인을 검증하여 최종적으로 신뢰 여부를 판단합니다.

2. 신뢰 체계가 이렇게 설계된 이유

(1) 보안 강화

Root CA는 절대 유출되어서는 안 되는 핵심 자산입니다. 이를 오프라인에 보관하고, 실제 운영은 Intermediate CA가 담당하게 함으로써 보안 사고의 위험을 줄일 수 있습니다.

(2) 역할 분리와 유연성

여러 Intermediate CA를 두면, 용도별로 책임을 나눌 수 있습니다. 예를 들어,

　　· 기업 인증용 Intermediate

　　· 개인 인증용 Intermediate

　　· 코드 서명용 Intermediate

이렇게 나누면 보안 정책을 세분화하고 운영 효율성을 높일 수 있습니다.

(3) 확장성

전 세계적으로 수많은 기관, 기업, 개인이 인증서를 필요로 합니다. 이 방대한 수요를 한 곳의 Root CA가 모두 직접 감당하는 것은 불가능합니다. 중간 단계를 둠으로써 확장성을 확보할 수 있습니다.

3. 글로벌 CA 체계

브라우저와 운영체제 제조사들은 Root CA 목록을 자체적으로 관리합니다.

　　· Mozilla Firefox: 약 147개의 Root

　　· macOS: 약 60개 조직, 168개의 Root

　　· Microsoft Windows: 약 101개 조직, 255개의 Root

따라서 특정 CA가 글로벌 신뢰망에 편입되려면, 각 브라우저와 OS 제조사에 Root 인증서를 등록 요청하고 심사를 통과해야 합니다.

4. 국가별 운영 방식

나라별로 Root CA 운영 방식은 크게 세 가지 유형으로 나뉩니다.

(1) 민간 위탁형 (미국, 일본 등)

　　· 브라우저와 OS 제조사가 Root 리스트를 직접 관리

　　· 루트 CA는 민간 기업이 경쟁하며 운영

　　· 예: DigiCert, GlobalSign, Sectigo

(2) 국가 주도형 (한국, 중국, 인도, 러시아 등)

　　· 정부 기관이 루트 인증서를 직접 관리

　　· 공공 서비스, 금융, 전자서명 분야에 활용

　　· 예: 한국의 KISA 루트 인증서, 중국의 CNNIC

(3) 하이브리드형 (유럽연합 등)

　　· 민간과 정부가 협력

　　· 상호 인증(Mutual Recognition) 체계를 통해 국경 간 신뢰를 확보