로고

고객만족센터

  • 02.514.7786
  • ucert@ucert.co.kr
제목 [중요공지] GlobalSign_TLS인증서 변경사항 공지
구분 공지
내용

안녕하세요. 한국기업보안 유서트입니다. GlobalSign에서 업데이트한 TLS인증서에 대한 변경사항을 공지하여 드립니다. [개요] CA/B Forum 및 루트 프로그램은 웹사이트 방문자를 보호하기 위해 모든 CA에게 일괄된 요구사항을 제공하고, CA가 준수하고 감사해야하는 요구사항을 지정합니다 CA/B Forum은 앞으로 변경될 사항에 대해서 요구하는바를 지정하였고, 아래는 그 일부 내용을 포함하였습니다. ​ 자세한 사항은 아래를 확인하여 주세요. [요구사항] ■ CA는 인증서 발급 398일 이전에 도메인 이름과 IP주소를 확인해야 한다. 시행일: 2021년 10월 1일

 

​

Apple

Let’s Encrypt

인증서발급 최대 유효기간

398일

90일

도메인 및 조직 유효성 재사용기간

825일

30일 (or 유효성 검사~인증서 만료일 사이

최대 4개월)

 

→ 특정 사례에서 도메인 소유권이 변경되는 동안 기존 인증서가 이전 CA에서 계속 교체나 재발급 될 수 있음을 확인함 → 이로 인해 도메인 재사용 기간이 감소될 것을 예상하였으며 앞으로도 계속 감소를 예상함​ ▷해결 방법: 도메인 유효성 재사용 기간 감소 ▷앞으로의 방향: 업계가 렛츠인스크립트의 기준선을 향해 나아가고, 추후에는 기간이 이보다 더 단축될 것으로 예상됨. ■ 하위 도메인 및 와일드카드 발급을 위한 HTTP 도메인 유효성 검사 방법 금지한다. 시행일: 2021년 12월 1일 ※HTTP 도메인 유효성 검사 방법 :일반적으로 도메인 제어를 확인하는데 사용됨 1. 웹 사이트의 특정 디렉토리에 파일 배치함 2. 해당 도메인에 대한 제어를 시연함 3. DNS와 달리 도메인에서 하위 도메인으로의 공식적인 권한 위임이 있는 동일한 제어 기능 없음 4. example.com이 해킹 or 소유자가 악의적인 경향이 있는 경우, example.com을 승인 한 후 하위 도메인 발급 가능 그러나, 하위 도메인은 동일한 수준의 공식적인 제어 위임이 없기 때문에 모질라는 http방법으로 검증된 도메인을 포함하는 인증서의 발급을 정확히 검증된 도메인의 발급으로 제한하도록 의무화 하고있음 ▷방법: 각 SAN : DNSName 개별적 유효성 검사 시행 ■ ICA 순환 간격을 짧게 단축합니다. 타임라인: 2021년 7월 13일 이후, 2022년 분기 별 GlobalSign에서는 생태계의 보안과 민첩성을 촉진하기 위해 Atlas TSL CA를 교체 할 예정이라고 밝힘 아래는 글로벌사인에서 언급한 'CA가 사용 시간을 줄임으로서 얻는 이점'의 일부를 나열함 ▷이점 1. 단일 CA 및 해당 개인 키에서 발급한 인증서 수를 제한하여 자체 암호화 민첩성을 향상시킴 2. 이는 CA에 무결성, 규정 준수 or 보안 문제가 있는 경우 영향을 제한함 3. CRL의 크기가 줄어들어 유효성 검사 성능이 향상함 4. 이를 통해 고객 기반이 암호화 민첩성을 높이는 즉각적인 CA 교체를 예상하고 계획함 5. 모든 글로벌사인 Atlas TSL CA가 분기마다 교체, 모든 고객 전용 Atlas TSL CA가 매년 교체 예정 ▷영향 및 권장사항 1. 고객은 새 TLS 인증서를 설치할 때 항상 새 CA를 수락할 준비를 해야 함 2. 발급 CA는 API에서 사용할 수 있고, 인증서를 다운로드 할때 현재 CA가 항상 발급된 인증서로 프로비저닝 되도록 사용해야 함 3. 고객은 CA 인증서에 공개 키 고정을 수행해서는 안되며, 암호화 민첩성의 목적을 저해함으로 공개 키 고정을 허용하지 않음 4. 당사는 고객이 CA 발급에 대한 신속한 변화를 위한 관행을 따르고, 새 인증서를 취득할 때 항상 제공된 ICA를 다운로드하여 설치할 것을 권장함 ■ ECC 키 사용의 변경 시행일: 2021년 7월 29일 GlobalSign은 업계 모범 사례 및 CA/B 포럼 기본 요구사항의 프로세스 내 변경사항과 일치하도록 ECC TLS인증서의 키 사용을 변경할 예정임

변경 예정사항

ECC TLS 인증서의 키 사용 변경

시행 일부터 디지털 서명만 포함

(현재 디지털서명, 키 계약 모두 포함)

■ OU 필드 사용금지 타임라인: TBD ▷필드 - 종종 인증서가 속한 부서를 지정하여 인증서를 관리하는데 사용됨 ▷인증서 보고 - 조직이 이 필드를 기반으로 갱신 및 교체를 할당하는데 도움이 됨 ▷ 인증서 데이터 목적 - 조직 인증관리를 위해서가 아닌 사이트를 방문하고 사이트를 신뢰해야할지 여부를 결정하는 신뢰 당사자를 위함임


<OU필드 요구사항>

OU필드 요구사항

특정 자연인 or 법적 실체를 지칭하는 이름, DBA, 상표명, 주소, 위치 or 기타 텍스트를 포함하지 않는 프로세스 구현

▷고객은 (실수로) 검증되지 않은 오해의 소지가 있는 정보를 제공할 수 있음. 따라서, Google은 필드제거를 강력히 옹호함. ▷요청사항: 변경사항을 인식하고 앞으로 몇 달동안 OU 필드의 일반적인 사용을 단계적으로 중단 이와 관련하여 궁금하신 사항 또는 요청사항은 언제든지 02-514-7786으로 연락주시기 바랍니다 항상 고객만족을 위해 최선을 다하는 유서트가 되겠습니다. 감사합니다. 참고자료: https://www.globalsign.com/en/blog/upcoming-changes-publicly-trusted-tls-certificates?utm_campaign=EN+New+Blogs+2020&utm_medium=oktopost&utm_source=twitter


유서트 SNS