인터넷 전체를 위한 인증 기관 구축하기

12년 전, 2014년 창립기념일 주간에 Cloudflare는 Universal SSL을 활성화하여 하룻밤 사이에 웹상의 암호화된 사이트 수를 거의 두 배로 늘렸습니다. 한 번도 비용을 지불한 적이 없는 사이트를 포함해 Cloudflare를 사용하는 모든 사이트에 무료 TLS를 제공했습니다. 암호화는 비용과 시간이 많이 드는 작업에서 벗어나 기본으로 자리 잡았습니다.

올해 창립기념일 주간을 맞아 Cloudflare는 그 여정의 다음 단계로 나아갑니다. 10년 넘게 Cloudflare는 인터넷에서 공개적으로 신뢰받는 인증서의 최대 소비자 중 하나였으며, 직접 인증서를 발급한 적은 단 한 번도 없었습니다. 이제 그 상황이 달라집니다. Cloudflare는 공개 인증 기관(CA)이 되겠다는 계획을 공식 발표합니다.

오늘 Cloudflare는 이 노력의 첫 번째 구체적인 이정표를 발표합니다. Chrome, Apple, Microsoft, Mozilla의 루트 프로그램에 포함 신청을 완료했으며, 발급을 시작하는 날부터 가능한 한 많은 기기에서 지원되는 인증서를 제공할 수 있도록, GlobalSign의 오랜 기간 운영되며 폭넓게 신뢰받는 루트를 인수하기 위한 최종 계약을 체결했습니다. 또한 Chrome이 최근 발표한 Quantum-resistant Root Program을 겨냥해 양자 내성(PQ) 인증서를 제공하는 최초의 CA 중 하나가 될 계획도 발표합니다.

Cloudflare는 아직 인증서를 발급하지 않고 있으며, 발급을 시작하기까지는 시간이 조금 더 걸릴 것입니다. 지금 Cloudflare가 하고 있는 일은 이 작업을 공개적으로 약속하고, 이정표가 달성되는 대로 공유하며, 이를 달성하기 위해 루트 프로그램 및 WebPKI 커뮤니티의 다른 구성원들과 협력하면서 구축하는 내용을 정확히 알리는 것입니다.

신뢰를 향한 두 가지 경로

새로 만든 루트는 수년이 지나야 비로소 폭넓게 활용될 수 있습니다. 루트 프로그램이 수락한 후에도 해당 루트는 전 세계의 운영 체제, 브라우저, 기기에 전파되어야 하며, 업데이트 수신을 중단했거나 처음부터 업데이트를 받지 못한 수많은 기기에는 결코 도달하지 못합니다. 이처럼 롱테일에 해당하는 구형 클라이언트야말로 전 세계 인터넷 트래픽의 상당 부분이 발생하는 곳이며, 그에 상응하는 대규모의 예방 가능한 장애가 존재하는 곳입니다. Cloudflare는 제조사, 운영 체제, 마지막 업데이트 이후 경과 시간에 관계없이 모든 클라이언트가 가능한 한 높은 수준의 보안을 누릴 자격이 있다고 믿습니다.

다양한 클라이언트 집합에서 높은 수준의 신뢰 저장소 커버리지를 가진 기존 루트를 인수하면 첫날부터 이 문제가 해결됩니다. 기존 GlobalSign 루트는 2012년부터 브라우저, 운영 체제, 기기에서 신뢰받아 왔으며, 새 루트가 결코 도달할 수 없는 구형 클라이언트에도 닿습니다. 루트 키 프로그램에 포함을 신청할 새 루트는 신뢰받는 루트의 최대 사용 기간을 제한하기 시작하는 프로그램을 포함해 에코시스템이 나아가는 방향에 맞춰 설계되었습니다. 확립된 루트는 과거의 기기에 대한 도달 범위를, 새로운 루트는 미래 정책 아래에서의 입지를 제공합니다. Cloudflare는 자체 CA에서 발급하는 인증서가 가능한 한 폭넓은 고객 호환성을 제공할 수 있도록 두 루트를 모두 확보하고자 합니다.

무료 인증서를 발급받을 새로운 선택지

무료 자동화 인증서 모델은 이제 암호화된 웹의 대부분을 담당하고 있으며, 그중 상당 부분이 한 곳의 뛰어난 운영 기관을 통해 이루어집니다. Let's Encrypt는 하루에 약 1,000만 건의 인증서를 발급하고, 5억 개 이상의 사이트에 서비스를 제공하며, 2025년에 40억 건의 활성 인증서를 돌파했습니다. 이는 지난 20년간 인터넷에 일어난 최고의 일 중 하나이며, Let's Encrypt의 최대 사용자 중 하나인 Cloudflare가 자신 있게 말할 수 있습니다.

그 성공에는 어느 정도의 시스템 리스크가 따릅니다. 지배적인 무료 인증 기관이 일주일 정도 문제를 겪는다면 웹의 상당 부분에는 부하를 감당할 비슷한 수준의 무료 자동화 대안이 준비되어 있지 않을 것입니다. 인증서 팩 수준에서 Cloudflare는 수년간 자사 고객을 위해 바로 이러한 이중화를 구축해 왔습니다. 모든 Cloudflare Universal SSL 인증서에는 이미 별도의 키로 래핑되고 다른 기관에서 발급된 백업 인증서가 포함되어 있어, 기본 인증서가 해지되거나 침해될 경우 자동으로 배포될 준비가 되어 있습니다. 공개 CA는 동일한 아이디어를 전체 인터넷 규모로 확장한 것입니다.

도입을 쉽게 하기 위해 Cloudflare는 광범위하게 수용된 개방형 표준 프로토콜인 ACME(Automated Certificate Management Environment) 우선 방식을 취할 것입니다. ACME를 통한 자동 발급 및 갱신이 Cloudflare로부터 인증서를 얻는 방법이 됩니다. 즉, 이미 기존 무료 CA를 사용 중이라면 누구나 디렉터리 URL만 변경하면 Cloudflare로 이전할 수 있으며, 새로운 툴링이나 아키텍처 재설계가 필요하지 않습니다.

폭발적으로 늘어날 인증서 수요

Cloudflare는 전 세계 인터넷 요청 트래픽의 20% 이상을 앞단에서 처리하며 수백만 개의 도메인에 대한 TLS를 종료하고, 이를 위해 연간 수백만 개의 인증서에 의존합니다. Cloudflare는 CA 장애 및 해지 이벤트 발생 시에도 고객의 서비스가 중단 없이 유지되도록 기본 및 백업 경로를 갖춘 여러 CA를 통해 이러한 인증서를 프로비저닝합니다.

이 경험을 통해 Cloudflare는 인증서를 사용하는 입장에서 WebPKI 에코시스템이 어떻게 작동하는지는 물론, 때때로 장애가 발생한다는 사실도 직접 겪으며 어렵게 배웠습니다. 레이트 리미팅, 유효성 검사 에지 케이스, 해지 대기 시간, 체인 구축, 루트 배포 지연 등을 다루어 왔습니다. 최근 몇 년간의 CA 변동을 겪어왔으며 고객들을 통해 그 영향을 느꼈습니다. Cloudflare는 신뢰할 수 있는 발급이 외부에서 어떤 모습이어야 하는지 잘 알고 있습니다. 발급 기관에 문제가 생겼을 때 Cloudflare가 얼마나 복원력 있고 신속하게 대응하느냐에 따라 고객의 가동 시간이 좌우되어 왔기 때문입니다.

그리고 향후 몇 년에 걸쳐 인증서 최대 유효 기간이 단축되고, 에이전틱 활동이 증가하며, PQ 인증서가 주류가 됨에 따라 Cloudflare가 매년 사용하는 인증서의 수도 빠르게 늘어날 것으로 예상되며, 이는 Cloudflare만의 일이 아닙니다. Cloudflare는 이 문제를 자체적으로 해결하는 데 그치지 않고 인터넷 전반에 이러한 공공 인프라를 제공하는 데 기여하며, 고객의 인증서 공급망에 더 많은 공급자가 확보되도록 하고자 합니다.

복원력을 위한 설계: 투명성 및 작게 실패하기

자체 CA가 되는 새로운 책임을 맡으면서 Cloudflare는 가능한 한 가장 신뢰할 수 있고 복원력 있는 CA를 구축하기로 약속합니다. 실수를 피하는 것만으로 신뢰성을 확보하는 것이 아니라, Cloudflare의 다른 제품들과 마찬가지로 “작게 실패하기(fail small)” 원칙에 따라 단일 문제의 영향을 제한함으로써 신뢰성을 확보하는 인증 기관을 구축하려 합니다.

그것은 인시던트가 발생하기 전에 복구를 설계하고 테스트하는 프로세스를 도입하는 것을 의미합니다. 예를 들어, 갱신 자동화를 발급의 조건으로 삼겠습니다. RFC 9773으로 표준화된 ACME Renewal Information(ARI)을 지원하는 클라이언트에만 발급합니다. 가입자는 갱신 엔드포인트를 폴링하고, Cloudflare가 게시하는 갱신 기간에 따라 조치를 취하며, 교체할 인증서를 식별하는 자동화를 유지해야 합니다.

또한 지난 16년간 관찰해온 것들로부터 배우고 있습니다. 너무 많은 가입자가 인증서를 충분히 빠르게 교체하지 못해 시기적절한 해지와 가입자 사이트의 온라인 유지 사이에서 갈등하는 인증 기관들을 보아왔습니다. 규정 준수 문제나 보안 인시던트로 인해 인증서를 폐기해야 할 때, Cloudflare는 영향받는 인증서의 갱신 기간을 앞당기고, 주어진 시간에 걸쳐 교체를 분산하고, 교체 발급을 추적할 수 있습니다.

이는 Cloudflare가 구축하려는 많은 방식 중 하나에 불과합니다. Cloudflare는 발급 스택과 운영에 투명하게 임하고, 인증서에 서명하는 소프트웨어의 재현 가능한 빌드를 게시하고, Cloudflare 키를 보관하는 하드웨어 보안 모듈을 증명하고, 발급 상태와 인시던트를 위한 공개 대시보드를 운영할 것입니다. 감사는 특정 시점을 반영하며 CA가 통과했다는 것을 알려줄 뿐, 평상시에 어떻게 운영되는지는 알려주지 않습니다. Cloudflare는 루트 프로그램, 연구자, 일반 사이트 소유자들이 감사 사이에 현대적인 CA가 실제로 어떻게 운영되는지 관찰할 수 있기를 바랍니다.

양자 내성 인터넷을 위한 인증 기관

Cloudflare는 인증서의 현재뿐 아니라 앞으로 나아갈 방향까지 선도하고자 합니다. 2027년 1분기에 첫 번째 인증서를 발급하는 것을 목표로, Merkle Tree Certificates(MTC)를 프로덕션 환경에서 발급하는 최초의 CA 중 하나가 될 계획입니다.

MTC는 전통적인 인증서 체인이 TLS 핸드셰이크에 부담을 줄 만큼 커지는 양자 내성 암호 환경에 맞춰 설계된, 공개적으로 신뢰받는 인증서를 전달하는 새롭고 훨씬 더 간결한 방법입니다. Cloudflare는 IETF에서 MTC에 대한 표준 기반 제안을 주도적으로 추진해 왔으며, 올해 초 Chrome은 MTC를 양자 내성 인증의 선호 경로로 지정했습니다. 프로덕션에서 이를 발급함으로써 웹 전체가 거쳐야 할 전환에 실질적인 볼륨을 투입하면서 Cloudflare 고객뿐만 아니라 더 넓은 인터넷을 양자 컴퓨팅 위협으로부터 보호할 수 있습니다. MTC와 새로운 웹 공개 키 인프라(PKI)의 모습은 관련 블로그 게시물에서 자세히 확인할 수 있습니다.

그 전환이 갑작스러울 것이라고는 예상하지 않습니다. 인터넷의 많은 부분이 앞으로도 수년간 클래식 인증서와 기존 WebPKI에 계속 의존할 것입니다. 그러나 그 기간에 걸쳐 MTC가 발급의 점점 더 많은 부분을 차지할 것으로 예상하며, Cloudflare가 두 가지를 모두 처리하는 단일 서비스를 구축하는 이유도 여기에 있습니다. 클래식 인증서와 Merkle Tree Certificates를 하나의 CA 아래, 하나의 수명 주기와 동일한 보증 체계로 제공하므로, 고객은 원하는 속도에 맞춰 도입하면서 일괄 전환 없이 웹의 이행을 도울 수 있습니다. 고객들은 수십 년에 걸친 마이그레이션에서 어느 편을 선택하거나, 두 시스템을 운영하거나, 균형이 바뀔 때 재구축할 필요가 없어야 합니다.

언제나 그렇듯, Cloudflare는 Customer Zero가 됩니다

고객을 위해 Universal SSL을 통해 인증서 팩을 제공하는 것 외에도 Cloudflare는 시스템과 내부 운영을 위해 다양한 CA에서 발급받은 인증서를 사용합니다. Cloudflare의 다른 제품과 마찬가지로 Cloudflare는 새 CA와 그 인증서(WebPKI 및 MTC 모두)의 Customer Zero가 되어, 새로운 시스템과 프로세스의 모든 측면이 높은 내부 표준을 충족하는지 확인하고 CA 인프라를 Cloudflare 규모에서 직접 검증할 것입니다.

향후 계획

Cloudflare는 주요 웹 루트 키 프로그램 각각과 함께 신청 및 승인 프로세스를 진행하고 있습니다. 이러한 프로세스는 공개적으로 진행되며, 2027년 초 첫 Merkle Tree Certificates를 발급할 때까지 진행 상황에 따라 더 많은 업데이트를 공유하겠습니다. 이 작업을 팔로우하거나 향후 Cloudflare CA 인증서를 가장 먼저 사용하는 사람이 되고 싶다면 업데이트 소식 받기를 신청하세요. Cloudflare에서 이 새로운 역량을 함께 구축하고 싶다면 지금 지원하세요. Cloudflare가 채용 중입니다!

이 새로운 역량을 구축해 나가면서 Cloudflare는 수년간(실제로 16년간!) 의지해온 파트너 공개 CA 네트워크와 계속 긴밀히 협력하며, 신뢰할 수 있고 개방된 인터넷을 보장하기 위해 모두 함께 노력하겠습니다.

Universal SSL을 출시했을 때 주장은 단순했습니다. 인터넷에서 암호화되어 전송되는 바이트 하나하나가 트래픽을 가로채거나, 속도를 제한하거나, 검열하기 어렵게 만들며, 개방된 웹은 우리 모두가 함께 구축하는 것입니다. 공개적이고 이중화되어 있으며 투명한 인증 기관은 동일한 주장을 한 단계 아래로, 즉 애초에 암호화된 웹을 가능하게 하는 신뢰로까지 가져간 것입니다. Cloudflare는 오랫동안 이를 향해 노력해 왔으며, 마침내 그 길에 올라서게 되어 기쁩니다.

즐거운 창립기념일 주간 보내세요!