로고

고객만족센터

  • 02.514.7786
  • ucert@ucert.co.kr
제목 [중요] [중요] SSL/TLS 인증서 클라이언트 인증(ClientAuth) EKU 제거 안내
구분 공지
내용
안녕하세요, 
유서트입니다. 

글로벌 인증기관(CA)과 구글 크롬 루트 프로그램의 정책 변경에 따라, 
2027년 3월 15일 이후 공인 SSL/TLS 인증서에서 클라이언트 인증(Client Authentication) 용도가 영구적으로 제거됩니다.

일반 웹사이트(HTTPS)에만 SSL 인증서를 사용하시는 고객님은 영향이 없습니다.
다만 SSL 인증서를 mTLS(상호 인증), VPN 클라이언트 인증, 서버 간 통신 인증 등에 활용하고 계신 경우에는 사전 점검과 대응이 필요합니다. 
아래 세부 내용을 확인해 주세요.

1. 무엇이 변경되나요?
공인 SSL/TLS 인증서는 그동안 서버 인증(ServerAuth)과 클라이언트 인증(ClientAuth) 두 가지 용도를 함께 포함하여 발급되어 왔습니다.
앞으로는 서버 인증(ServerAuth) 전용으로만 발급되며, 클라이언트 인증 용도는 더 이상 공인 SSL 인증서에 포함되지 않습니다.
이는 특정 인증기관만의 변경이 아닌, CA/Browser Forum 결의에 따른 글로벌 업계 공통 정책입니다.

2. 영향을 받는 경우 / 받지 않는 경우
* 영향 없음 (대부분의 고객)
홈페이지, 쇼핑몰 등 웹사이트 HTTPS 보안 접속에만 SSL 인증서를 사용하는 경우
일반적인 웹 브라우저 접속 환경

* 영향 있음 (점검 필요)
- mTLS(상호 인증): SSL 인증서를 서버와 클라이언트 양쪽 인증에 공유하여 사용하는 환경
- VPN 클라이언트 인증: 공인 SSL 인증서로 VPN 접속 시 기기/사용자를 인증하는 환경
- 서버 간 API 통신: 외부 공인 인증서를 클라이언트 인증서로 사용하는 서버 간 통신
- 레거시 시스템: 인증서의 EKU 값을 엄격하게 검증하는 일부 구형 장비나 애플리케이션


3. 주요 인증기관별 적용 일정

브라우저 차원의 최종 신뢰 거부 시점: 2027년 3월 15일


 구분

 기본값 제외

 

 

 

최종 발급 종료 

비고 

GlobalSign

 2025년 4분기(순차)

 

 

 

2026년 09월 13일

전용 루트(R46/E46) 전환 연계 

DigiCert

 2025년 10월 01일

 

 

 

2027년 10월 01일

기존 2026년 5월에서 연기 

Sectigo

 

 

 

 2025년 10월 14일

 

 

 

 

    2027년 03월 15일

 

 

기존 2026년 5월에서 연기 

 

 

 

참고: "기본값 제외"란 신규 발급 시 ClientAuth가 자동으로 포함되지 않는다는 의미입니다. 해당 일자 이후에도 "최종 발급 종료"일까지는 발급 시 수동 선택하여 포함할 수 있습니다. 최종 발급 종료일 이후에는 어떤 경우에도 포함이 불가능합니다.

4. 고객 대응 가이드
현재 확보된 유예 기간(2027년 초까지)을 활용하여 아래 단계를 점검해 주세요.

STEP 1. 현재 인증서 사용 환경 점검
사내 시스템 중 공인 SSL 인증서를 클라이언트 인증(mTLS, 기기 인증, 서버 간 통신 등) 용도로 사용하는 곳이 있는지 확인해 주세요. 
단순 HTTPS 접속만 사용하는 서버는 확인 대상에서 제외하셔도 됩니다.

STEP 2. 사설 PKI(Private CA) 도입 검토
서버 간 통신이나 내부 시스템 인증에 공인 인증서의 ClientAuth를 활용하고 계셨다면, 향후에는 사설 CA(Private Trust)를 통해 별도 클라이언트 인증서를 반드시 발급받아 주세요.

STEP 3. 인증서 조기 갱신 (단기 대안)
아키텍처 변경이 당장 어려운 경우, 
최종 발급 종료일 이전에 ClientAuth가 포함된 인증서를 마지막으로 발급받아 만료 시점까지 사용하며 전환 시간을 확보할 수 있습니다. 
다만, 현재 인증서 최대 유효기간이 200일로 단축된 상태이므로 장기적 해결책은 아닙니다. 
유예 기간 내에 STEP 2의 사설 PKI 전환을 함께 준비해 주세요.

5. 기존 인증서는 어떻게 되나요?
변경 일자 이전에 이미 발급된 ClientAuth 포함 인증서는 만료일까지 정상적으로 사용 가능합니다. 
기발급 인증서가 소급 적용되어 무효화되지는 않습니다.
다만, 변경 일자 이후에 해당 인증서를 갱신·재발급·복제 할 경우에는 ClientAuth EKU가 제외된 상태로 발급됩니다.

인증서 발급 정책에 관련된 문의는 issue@ucert.co.kr 로 문의 부탁드리겠습니다.
감사합니다. 
유서트 SNS