| 요약 | - 구글 주요 방어 도구인 인증서의 유효 기간 단축 발표 |
| 내용 | - 인증서 > 웹 브라우저의 주소창에 자물쇠 기호가 나타남 > 'https'로 시작하는 웹 주소 사용 가능 > 웹 사이트의 도메인을 유효성을 증명하며, 암호화 지원 및 스푸핑으로부터 안전함을 증명 - 구글은 TLS 인증서의 유효기간을 90일로 정하겠다고 발표 > 기존 인증서의 유효기간은 1년 > 공격자들의 실력, 기술 수준의 빠르게 높아지는데 대응하겠다는 취지 - 애플, 마이크로소프트, 모질라 등 브라우저 개발사 또한 인증서 유효 기간을 줄이는 쪽으로 움직이는 중 > 애플의 경우 2020년부터 사파리 브라우저 인증서를 1년으로 줄임 - ‘인증서 생애주기 관리(CLM)’ 작업은 IT 관리자들 대부분이 매우 까다롭게 느끼는 업무 중 하나 > 한 IT 팀이 관리해야 하는 내부 디지털 인증서는 평균 5만 개라는 조사 결과 > 동 조사에는 이 숫자가 매년 43% 이상 증가하고 있다는 내용도 포함 - '인증서 생애주기 관리(CLM)' 관리 권장사항 ① 가시성을 확보 > 네트워크 내 존재하는 인증서의 목록, 만료일, 삭제 및 갱신 목록, 위치, 추가 목록 등 자산 목록을 생성 ② 인증서 소비 기한 추적 > 가시성 확보 후 자동화 기술을 접목해 기한을 추적해 만료 며칠 전 담당자에게 알림 등을 발생시켜 적절한 조치를 취하도록해야 함 ③ 적절한 암호화 표준 적용 > 인증서를 중요하게 만드는 요소들 중 핵심은 암호화 > 암호화를 제대로 활용하는 것이 인증서 관리의 목적이라고 할 수 있음 > 인증서들을 분석해 암호화 키의 크기와 강력함, 서명 알고리즘 등을 알아내는 것이 중요 ④ 거버넌스 체제 확립 > 거버넌스 위에서 자동화 기술을 적용 > 공공 키 인프라(PKI)의 거버넌스가 확립되어야 데이터를 보호하고 사용자 아이덴티티를 관리하고 종단간 통신을 안전하게 지킬 수 있음 > 조직 내 모든 부서들에 적용될 안정적인 정책과 표준 마련 ⑤ 비밀키 보호 > 안전한 소프트웨어 금고나 특수 하드웨어에 저장해 안전히 보관 |
| 기타 | - 클라우드와 자동화에 대한 의존도가 높은 때에 인증서 관리는 절대 소홀히 할 수 없는 것 - 인증서 유효기간 단축은 보안의 관점에서는 타당하나 업무적 관점에서는 해결 과제 존재 |
보안뉴스
TLS 인증서의 유효 기간 줄인다는 구글, 어떻게 대처해야 할까?
디지털 인증서는 와인과 다르다. 시간이 지나면서 나아지거나 향기로워지지 않는다. 디지털 인증서는 오히려 건전지와 같다. 그대로 두면서 핵심 기능이 약화되기 때문이다. 얼마 전 구글은 TLS
www.boannews.com
'보안뉴스' 카테고리의 다른 글
| '철통보안' 애플의 자신감..."아이폰15에 최강 보안 체계 구축" (1) | 2023.10.06 |
|---|---|
| 구글의 루커스튜디오 악용한 공격자들, 이메일 보안 장치들 농락 (0) | 2023.09.14 |
| 야심차게 준비한 크롬 웹스토어의 안전 장치, 잠깐의 실험만으로 뚫렸다 (0) | 2023.09.08 |
| 사이버 생태계를 더 위험하게 만드는 골칫거리, 룻키트 (0) | 2023.07.19 |
| USB 활용한 사이버 공격, 아직 알 수 없는 이유로 급증하고 있어 (0) | 2023.07.19 |