고객만족센터

안녕하세요.
한국기업보안 유서트입니다.

최근 Mozilla, Google Chrome 등 주요 브라우저의 Root 프로그램 정책이 강화됨에 따라,
각 인증기관(CA)에서는 이에 맞춰 Root 및 중간(Chain) 인증서를 지속적으로 교체하고 있습니다.

이러한 정책 변화는 CA/B Forum 및 브라우저 Root Program의 보안 기준 강화에 따라 시행되고 있으며,
유서트를 통해 발급되는 인증서 역시 분기 단위로 Chain 인증서가 교체되고 있습니다.
또한 일부 제품에서는 Root 인증서의 변경도 점진적으로 반영되고 있습니다.

고객분들께서는 인증서 발급 후 인증서 교체 시 반드시 Root 및 Chain 인증서를 함께 교체해주시기를 당부드립니다. 


[주요 변경사항]

• 중간 인증기관(ICA): 대부분 인증기관이 분기마다 ICA를 정기 교체
• 루트 인증서(Root CA): 기존 다목적(Multipurpose) 루트에서 전용(전용 용도별) 루트로 전환 중
• 브라우저 정책: Mozilla 및 Chrome은 오래된 루트 또는 다목적 루트를 더 이상 신뢰하지 않음
   

[영향도]

• 현재 사용하고 있는 인증서는 영향이 없습니다.
• 서버나 시스템에 인증서를 설치하실 때는 항상 함께 제공된 최신 Chain(Root + Chain)을 설치해주시기 바랍니다.
• 폐쇄망 환경, JAVA 기반 시스템, 자체 Trust Store 사용 시스템은 Root 또는 Chain 인증서가 변경될 경우, 반드시 수동 갱신이 필요합니다. 
  ※ JAVA API SSL 통신 요류 해결 가이드 : https://www.ucert.co.kr/board/list/guide/ssl/1/other?search=
•  공개 키 핀닝(Public Key Pinning)을 사용하는 경우 반드시 중단해주시기 바랍니다. 
  ※ 공개 키 핀닝(Public Key Pinning) : 서버의 공개 키를 클라이언트(브라우저 등)에 '고정(pinning)' 시켜 특정 키만 신뢰하도록 하는 방식)
   

•  Google Chrome Root Program 정책(Google Chrome Root Store) : 
  https://g.co/chrome/root-policy 
•  Mozilla Root Program 정책 : 
  https://wiki.mozilla.org/CA
•  CAB 포럼 투표 결과(인증기관 정책 협의체) : 
  https://github.com/cabforum/servercert/pull/553 
• GlobalSign ICA 교체 정책 : 
  https://support.globalsign.com/atlas/atlas-tls/atlas-tls-ica-rotations
• Didgicert Root 계층 변경 안내 : 
  https://knowledge.digicert.com/alerts/digicert-transitioning-multipurpose-pki-hierarchies-to-dedicated-tls-root-hierarchies

보다 안전하고 유연한 인증서 운영을 위해 반드시 위 사항을 참고하여 인증서 설치 및 검증 체계에 반영해주시기 바랍니다.
문의 사항은 언제든 유서트 기술지원팀으로 연락 부탁드리겠습니다. 

유서트 기술지원팀
02-3442-7230 / dev_tech@ucert.co.kr
감사합니다.

유서트 드림.