클라우드플레어(Cloudflare)에서 받은 이메일이 걱정됩니다. 제 설치 환경에서 Cloudflare을 사용 중인데, 이 내용이 무엇인지 이해하는 데 도움을 주실 수 있을까요? 제 웹사이트가 오프라인 상태가 될까요?
안녕하세요,
2024년 5월 15일 이후 발급되는 Let’s Encrypt 인증서의 디바이스 호환성에 영향을 미칠 예정인 변경 사항에 대해 알려드리고자 연락드립니다. Universal SSL, Advanced Certificate Manager, Custom Certificates 또는 SSL for SaaS를 통해 현재 Let’s Encrypt 인증서를 사용하고 계시기 때문에 이 안내를 드리는 것입니다. Let’s Encrypt의 변경 사항을 숙지하시고 사전에 필요한 조치를 취하시기를 권장합니다.
변경 사항 개요
Let’s Encrypt는 두 개의 체인(Chain)을 통해 인증서를 발급합니다. 하나는 ISRG Root X1 체인이고, 다른 하나는 IdenTrust의 DST Root CA X3에 의해 크로스 서명된 ISRG Root X1 체인입니다. 크로스 서명된 체인은 Let’s Encrypt 인증서가 널리 신뢰받을 수 있게 해주었으며, 순수 체인(Pure chain)은 지난 3년간 다양한 디바이스와 호환성을 갖추어 ISRG Root X1을 신뢰하는 Android 디바이스의 비율을 66%에서 93.9%로 증가시켰습니다.
Let’s Encrypt는 크로스 서명된 체인이 2024년 9월 30일에 만료될 것이라고 발표했습니다. 이에 따라 Cloudflare는 2024년 5월 15일부터 크로스 서명된 CA 체인을 통한 인증서 발급을 중단할 예정입니다.
영향
크로스 서명된 체인의 만료는 주로 구형 디바이스(예: Android 7.0 이하)와 크로스 서명된 체인에만 의존하여 신뢰 저장소(Trust Store)에 ISRG Root X1 체인이 없는 시스템에 영향을 미칩니다. 이러한 변경으로 인해 해당 디바이스에서 인증서 검증 실패가 발생할 수 있으며, 웹사이트를 방문하는 사용자에게 경고 메시지나 접속 문제가 발생할 수 있습니다.
Universal SSL, Advanced Certificate Manager 또는 SSL for SaaS를 통해 발급된 인증서에 대한 영향:
CA 만료에 대비하여, 5월 15일 이후 Cloudflare는 더 이상 크로스 서명된 체인에서 인증서를 발급하지 않습니다. 5월 15일 이전에 발급된 인증서는 클라이언트에게 크로스 서명된 체인과 함께 계속 제공될 것입니다. 5월 15일 또는 그 이후에 발급된 인증서는 ISRG Root X1 체인을 사용합니다. 또한, 이 변경 사항은 RSA 인증서에のみ 영향을 미칩니다. Let’s Encrypt를 통해 발급된 ECDSA 인증서에는 영향을 미치지 않으며, ECDSA 인증서는 현재와 동일한 수준의 호환성을 유지합니다.
Custom Certificates를 통해 업로드된 인증서에 대한 영향:
Cloudflare에 업로드된 인증서는 Cloudflare가 가장 호환되고 효율적이라고 판단한 인증서 체인과 번들링됩니다. 2024년 5월 15일 이후, Cloudflare에 업로드된 모든 Let’s Encrypt 인증서는 크로스 서명된 체인이 아닌 ISRG Root X1 체인과 함께 번들링됩니다. 5월 15일 이전에 업로드된 인증서는 해당 인증서가 갱신될 때까지 크로스 서명된 체인을 계속 사용합니다.
중요한 날짜
2024년 5월 15일: Cloudflare는 크로스 서명된 CA 체인을 통한 인증서 발급을 중단합니다. 또한, 이 날짜 이후 업로드된 Let’s Encrypt Custom Certificates는 크로스 서명된 체인이 아닌 ISRG X1 체인과 함께 번들링됩니다.
2024년 9월 30일: 크로스 서명된 CA 체인이 만료됩니다.
권장 사항:
이 변경 사항의 영향을 줄이기 위해 다음 단계를 취하시기를 권장합니다:
-
CA 변경: 고객이 구형 디바이스에서 애플리케이션으로 요청을 보내고 있으며 이 변경 사항이 그들에게 영향을 미칠 것으로 예상된다면, 다른 인증 기관(Certificate Authority)을 사용하거나 원하는 CA의 인증서를 업로드하는 것을 권장합니다.
-
모니터링: 변경 사항이 적용된 후에는 인증서 경고나 접속 문제와 관련된 문의가 있는지 지원 채널을 모니터링하시기를 권장합니다.
-
신뢰 저장소 업데이트: 애플리케이션에 연결하는 클라이언트를 관리하고 있다면, 영향을 방지하기 위해 ISRG Root X1 체인을 포함하도록 신뢰 저장소를 업그레이드하는 것을 권장합니다.
“이것이 그들이 보낸 이메일입니다. 하지만 저는 일반인이라서 이해하기가 어렵습니다. 조사도 해보고 이해하려고 노력했지만, 이 사안의 심각성을 파악하지 못했습니다. 도움을 주실 분이 있다면 감사하겠습니다.”