여기 저기 전파해야 할 소식이다. 렛츠인크립트의 인증서 하나가 만료되었으니 업그레이드를 해야 한다는 것이다. 렛츠인크립트가 무료로 인증서를 발급하는 바람에 인증서에 대한 필요가 충족되고 있기는 하지만 반대로 인증서에 대해 무심해지는 사람들도 생기고 있다. 그럴 땐 업데이트 소식을 빨리 전파하는 것이 중요하다.
[보안뉴스 문가용 기자] 무료 인증서를 제공하는 인증 기관(CA)인 렛츠인크립트(Let’s Encrypt)에서 제공하는 최상위 인증서가 종료됨에 따라 많은 웹사이트와 시스템에서 문제가 발생할 것으로 예상된다.
렛츠인크립트는 비영리 단체인 인터넷보안연구그룹(Internet Security Research Group, ISRG)에 소속된 산하 조직으로, HTTPS 인증서를 대량으로 제공하는 기관이기도 하다. 지난 2월 10억 번째 인증서 발급이라는 대기록을 이뤄낸 바 있다. 현재까지 1억 9200만 웹사이트가 렛츠인크립트의 인증서를 활용하는 중이다.
렛츠인크립트의 인증서 중 IdenTrust DST Root CA X3가 지난 9월 30일에 만료됐다. 즉 이 인증서와, 이 인증서를 기반으로 하고 있는 웹사이트들이나 OS, 시스템이나 플랫폼 등은 더 이상 ‘신뢰할 만한 요소’로 인정받지 못한다는 뜻이다.
“최고 인증서 중 하나가 만료가 된다면, 그 인증서에 기반을 둔 다른 인증서들가지 같이 영향을 받습니다. 소프트웨어 디펜던시처럼 뿌리에 얽힌 뭔가가 무너지면 그 위에 있는 다른 것들도 하나 둘 이상 증상을 나타낸다는 것이죠.” 시큐리티헤더(Security Header)의 창립자인 스콧 헬름(Scott Helme)의 설명이다.
이미 지난 5월에도 AddTrust External CA Root이 만료됐을 때 수많은 조직들이 영향을 받은 바 있다. 당시 로쿠(Roku), 스트라이프(Stripe) 등과 같은 조직들의 웹사이트들에서 삐걱거리는 일들이 신고 됐다. 헬름은 “애스트러스트(AddTrust)와 렛츠인크립트는 생태계의 규모 차이가 어마어마하다”고 설명하며, “따라서 이번 렛츠인크립트 인증서의 만료는 더 큰 후폭풍을 가져올 것”이라고 짚었다.
사실 최상위 인증서가 만료된다고 해서 무조건 커다란 문제가 되는 건 아니다. 인증서는 항상 일정 기간이 지나면 만료되는 것이고, 그러므로 새 인증서로 대체시키는 건 흔히 일어나는 일이다. 그리고 그 과정 모두가 투명하게 진행된다. 그렇다면 렛츠인크립트 인증서의 만료는 어떤 점에서 문제가 되는 걸까?
“렛츠인크립트를 무료로 가져다 쓴 클라이언트들이 이 종료일에 대해서 잘 모르는 경우가 대다수이기 때문”이라고 헬름은 설명한다. “무료이고 편안하니까 인증서에 대한 이해도 없이 렛츠인크립트를 가져다 쓴 사람들이 렛츠인크립트 고객들 중에는 많습니다. 그리고는 인증서에 대해 잊어버리는 거죠. 아마 이번 만료에 대해서도 모르고 있고, 따라서 새 것을 다운로드 받지 않은 사람들이 대다수일 겁니다.”
헬름은 자신의 블로그를 통해 IdenTrust DST Root CA X3 만료에 영향을 받을 클라이언트의 목록을 게시했다. 그의 블로그 주소는 이것(https://scotthelme.co.uk/lets-encrypt-old-root-expiration/)이며 게시글의 아래쪽에 클라이언트들의 목록을 찾을 수 있을 것이다. 맥OS 10.12.1 이하 버전, 윈도 XP 서비스팩 3 이하 버전, iOS 10 이하 버전, 오픈SSL 1.0.2 이하 버전, 파이어폭스 50 이하 버전 등이 여기에 포함된다.
그 외에도 팔로알토(Palo Alto), 블루코트(Bluecoat), 시스코 엄브렐라(Cisco Umbrella), 구글 클라우드 모니터링(Google Cloud Monitoring), 오스제로(Auto0), 쇼피파이(Shopify), 퀵북스(QuickBooks), 포티넷(Fortinet) 등과 같은 조직들도 영향이 있을 수 있다고 헬름은 강조했다.
렛츠인크립트 측은 공식 트위터 채널을 통해 “오류가 발생하는 경우 커뮤니티 포럼에 마련된 픽스를 활용하라”고 사용자들에게 알리고 있다. 또한 헬름의 우려와 달리 “평소보다 많은 사람들이 현재 새 버전을 다운로드 하고 있다”고 하며 “인증서 다운로드가 원활하지 않을 수 있다”고도 밝혔다.
3줄 요약
1. 무료 인증서 발급 기관인 렛츠인크립트의 인증서 하나가 9월 30일에 만료됨.
2. 하지만 렛츠인크립트 인증서는 무료이기 때문에 사람들이 업데이트에 관심이 없음.
3. 이 때문에 꽤나 많은 조직과 시스템, 플랫폼과 웹사이트에서 이상 증상이 나타날 것으로 우려됨.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 무료 인증서를 제공하는 인증 기관(CA)인 렛츠인크립트(Let’s Encrypt)에서 제공하는 최상위 인증서가 종료됨에 따라 많은 웹사이트와 시스템에서 문제가 발생할 것으로 예상된다.
[이미지 = utoimage]
렛츠인크립트는 비영리 단체인 인터넷보안연구그룹(Internet Security Research Group, ISRG)에 소속된 산하 조직으로, HTTPS 인증서를 대량으로 제공하는 기관이기도 하다. 지난 2월 10억 번째 인증서 발급이라는 대기록을 이뤄낸 바 있다. 현재까지 1억 9200만 웹사이트가 렛츠인크립트의 인증서를 활용하는 중이다.
렛츠인크립트의 인증서 중 IdenTrust DST Root CA X3가 지난 9월 30일에 만료됐다. 즉 이 인증서와, 이 인증서를 기반으로 하고 있는 웹사이트들이나 OS, 시스템이나 플랫폼 등은 더 이상 ‘신뢰할 만한 요소’로 인정받지 못한다는 뜻이다.
“최고 인증서 중 하나가 만료가 된다면, 그 인증서에 기반을 둔 다른 인증서들가지 같이 영향을 받습니다. 소프트웨어 디펜던시처럼 뿌리에 얽힌 뭔가가 무너지면 그 위에 있는 다른 것들도 하나 둘 이상 증상을 나타낸다는 것이죠.” 시큐리티헤더(Security Header)의 창립자인 스콧 헬름(Scott Helme)의 설명이다.
이미 지난 5월에도 AddTrust External CA Root이 만료됐을 때 수많은 조직들이 영향을 받은 바 있다. 당시 로쿠(Roku), 스트라이프(Stripe) 등과 같은 조직들의 웹사이트들에서 삐걱거리는 일들이 신고 됐다. 헬름은 “애스트러스트(AddTrust)와 렛츠인크립트는 생태계의 규모 차이가 어마어마하다”고 설명하며, “따라서 이번 렛츠인크립트 인증서의 만료는 더 큰 후폭풍을 가져올 것”이라고 짚었다.
사실 최상위 인증서가 만료된다고 해서 무조건 커다란 문제가 되는 건 아니다. 인증서는 항상 일정 기간이 지나면 만료되는 것이고, 그러므로 새 인증서로 대체시키는 건 흔히 일어나는 일이다. 그리고 그 과정 모두가 투명하게 진행된다. 그렇다면 렛츠인크립트 인증서의 만료는 어떤 점에서 문제가 되는 걸까?
“렛츠인크립트를 무료로 가져다 쓴 클라이언트들이 이 종료일에 대해서 잘 모르는 경우가 대다수이기 때문”이라고 헬름은 설명한다. “무료이고 편안하니까 인증서에 대한 이해도 없이 렛츠인크립트를 가져다 쓴 사람들이 렛츠인크립트 고객들 중에는 많습니다. 그리고는 인증서에 대해 잊어버리는 거죠. 아마 이번 만료에 대해서도 모르고 있고, 따라서 새 것을 다운로드 받지 않은 사람들이 대다수일 겁니다.”
헬름은 자신의 블로그를 통해 IdenTrust DST Root CA X3 만료에 영향을 받을 클라이언트의 목록을 게시했다. 그의 블로그 주소는 이것(https://scotthelme.co.uk/lets-encrypt-old-root-expiration/)이며 게시글의 아래쪽에 클라이언트들의 목록을 찾을 수 있을 것이다. 맥OS 10.12.1 이하 버전, 윈도 XP 서비스팩 3 이하 버전, iOS 10 이하 버전, 오픈SSL 1.0.2 이하 버전, 파이어폭스 50 이하 버전 등이 여기에 포함된다.
그 외에도 팔로알토(Palo Alto), 블루코트(Bluecoat), 시스코 엄브렐라(Cisco Umbrella), 구글 클라우드 모니터링(Google Cloud Monitoring), 오스제로(Auto0), 쇼피파이(Shopify), 퀵북스(QuickBooks), 포티넷(Fortinet) 등과 같은 조직들도 영향이 있을 수 있다고 헬름은 강조했다.
렛츠인크립트 측은 공식 트위터 채널을 통해 “오류가 발생하는 경우 커뮤니티 포럼에 마련된 픽스를 활용하라”고 사용자들에게 알리고 있다. 또한 헬름의 우려와 달리 “평소보다 많은 사람들이 현재 새 버전을 다운로드 하고 있다”고 하며 “인증서 다운로드가 원활하지 않을 수 있다”고도 밝혔다.
3줄 요약
1. 무료 인증서 발급 기관인 렛츠인크립트의 인증서 하나가 9월 30일에 만료됨.
2. 하지만 렛츠인크립트 인증서는 무료이기 때문에 사람들이 업데이트에 관심이 없음.
3. 이 때문에 꽤나 많은 조직과 시스템, 플랫폼과 웹사이트에서 이상 증상이 나타날 것으로 우려됨.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-09-26] 
.jpg)
