X.509

3. 인증서

X.509 시스템에서 인증 기관(CA)은 공개 키를 특정 구분 이름에 바인딩하는 인증서를 발행한다. 조직은 인증서 서명 요청(CSR), 간단한 인증서 등록 프로토콜(SCEP), 인증서 관리 프로토콜(CMP) 등의 프로토콜을 사용하여 CA에 인증서를 요청한다.

서명된 인증서를 원하는 조직은 먼저 키 쌍을 생성하여 개인 키를 비밀로 유지하고, 이를 사용하여 CSR에 서명한다. CSR에는 신청자를 식별하는 정보와 신청자의 공개 키 및 해당 사람, 조직 또는 비즈니스에 고유한 구분 이름(DN)이 포함된다. 이후 CSR은 등록 기관(RA)을 통해 유효성 검사를 거친 후, 인증 기관이 공개 키를 특정 구분 이름에 바인딩하는 인증서를 발급한다.

인터넷 익스플로러, 파이어폭스, 오페라, 사파리, 크롬과 같은 브라우저에는 미리 결정된 루트 인증서 세트가 사전 설치되어 있다.

X.509 및 RFC 5280에는 인증서 폐지 목록(CRL) 구현에 대한 표준도 포함되어 있다. 인증서의 유효성을 확인하는 또 다른 IETF 승인 방법은 온라인 인증서 상태 프로토콜(OCSP)이다.

다음은 OpenSSL로 디코딩된 `www.freesoft.org`의 X.509 인증서의 예시이다.

```text

인증서:

데이터:

버전: 1 (0x0)

일련 번호: 7829 (0x1e95)

서명 알고리즘: md5WithRSAEncryption

발급자: C=ZA, ST=Western Cape, L=Cape Town, O=Thawte Consulting cc,

OU=Certification Services Division,

CN=Thawte Server CA/emailAddress=server-certs@thawte.com

유효 기간

시작일: 1998년 7월 9일 16:04:02 GMT

종료일: 1999년 7월 9일 16:04:02 GMT

주체: C=US, ST=Maryland, L=Pasadena, O=Brent Baccala,

OU=FreeSoft, CN=www.freesoft.org/emailAddress=baccala@freesoft.org

주체 공개 키 정보:

공개 키 알고리즘: rsaEncryption

RSA 공개 키: (1024 비트)

모듈러스 (1024 비트):

00:b4:31:98:0a:c4:bc:62:c1:88:aa:dc:b0:c8:bb:

33:35:19:d5:0c:64:b9:3d:41:b2:96:fc:f3:31:e1:

66:36:d0:8e:56:12:44:ba:75:eb:e8:1c:9c:5b:66:

70:33:52:14:c9:ec:4f:91:51:70:39:de:53:85:17:

16:94:6e:ee:f4:d5:6f:d5:ca:b3:47:5e:1b:0c:7b:

c5:cc:2b:6b:c1:90:c3:16:31:0d:bf:7a:c7:47:77:

8f:a0:21:c7:4c:d0:16:65:00:c1:0f:d7:b8:80:e3:

d2:75:6b:c1:ea:9e:5c:5c:ea:7d:c1:a1:10:bc:b8:

e8:35:1c:9e:27:52:7e:41:8f

지수: 65537 (0x10001)

서명 알고리즘: md5WithRSAEncryption

93:5f:8f:5f:c5:af:bf:0a:ab:a5:6d:fb:24:5f:b6:59:5d:9d:

92:2e:4a:1b:8b:ac:7d:99:17:5d:cd:19:f6:ad:ef:63:2f:92:

ab:2f:4b:cf:0a:13:90:ee:2c:0e:43:03:be:f6:ea:8e:9c:67:

d0:a2:40:03:f7:ef:6a:15:09:79:a9:46:ed:b7:16:1b:41:72:

0d:19:aa:ad:dd:9a:df:ab:97:50:65:f5:5e:85:a6:ef:19:d1:

5a:de:9d:ea:63:cd:cb:cc:6d:5d:01:85:b5:6d:c8:f3:d9:f7:

8f:0e:fc:ba:1f:34:e9:96:6e:6c:cf:f2:ef:9b:bf:de:b5:22:

68:9f

3. 1. 인증서의 구조

ITU-T는 버전 2에서 발급자 또는 주체 이름을 일정 시간 후에 재사용할 수 있도록 발급자 및 주체 고유 식별자를 도입했다. 그러나 IETF는 발급자 및 주체 이름을 재사용하지 않도록 권장한다. 따라서 버전 2는 인터넷에서 널리 사용되지 않는다.<sup>[1]</sup> 확장은 버전 3에서 도입되었다. CA는 확장을 사용하여 특정 목적에 대해서만 인증서를 발급할 수 있다.<sup>[2]</sup>

3. 2. 인증서 파일 확장자

• CER<sup>영어</sup> - DER로 부호화된 인증서.<sup>[42][43]</sup>
• CRT<sup>영어</sup> - Privacy-Enhanced Mail|label=PEM<sup>영어</sup> 형식으로 부호화된 인증서.<sup>[44]</sup>
• DER<sup>영어</sup> - DER로 부호화된 인증서.
• PEM<sup>영어</sup> - PEM 형식. Base64로 부호화된 인증서이며, "`-----BEGIN CERTIFICATE-----`"와 "`-----END CERTIFICATE-----`"로 둘러싸여 있다.
• P7B<sup>영어</sup> - `.p7c` 참조.
• P7C<sup>영어</sup> - 서명된 데이터가 없는 PKCS#7의 SignedData 구조로, 인증서(군)나 CRL(군)이 있다.
• PFX<sup>영어</sup> - `.p12` 참조.
• P12<sup>영어</sup> - (공개 키나 암호로 보호된) 개인 키를 포함하는 PKCS#12.
• P10<sup>영어</sup> - CSR. CA에 제출하기 위해 생성되며, 요청된 인증서의 키 정보와 서명될 인증서의 공개 키가 포함된다.
• P7R<sup>영어</sup> - PKCS#7 CSR에 대한 응답. 새로 서명된 인증서와 CA 자체 인증서가 포함되어 있다.
• P7S<sup>영어</sup> - PKCS#7 디지털 서명.
• P7M<sup>영어</sup> - PKCS#7 SignedData, EnvelopedData 메시지.
• CRL<sup>영어</sup> - CRL.

4. 인증서 체인 및 상호 인증

인증서 체인(인증 경로)은 일련의 인증서로 구성되며, 각 인증서(마지막 제외)는 다음 인증서에 의해 서명된다. 체인의 마지막 인증서는 신뢰 앵커라고 불리는 신뢰할 수 있는 인증서이다. 인증서 체인은 대상 인증서의 공개 키가 실제로 주장하는 주체에게 속하는지 확인하는 데 사용된다.<sup>[4]</sup>

예를 들어, www.freesoft.org의 X.509 인증서는 Thawte(VeriSign에 인수됨)에서 발급했으며, 발급자 정보가 인증서에 명시되어 있다. 이 인증서를 검증하려면 Thawte 서버 인증 기관의 인증서가 필요하며, 이 인증서의 CA 속성 값을 통해 다른 인증서를 발급할 수 있는지 확인한다. 그 후, Thawte 인증서의 RSA 공개 키를 사용하여 www.freesoft.org 인증서의 서명을 해독하고 MD5 해시를 얻는다. 이 해시 값이 인증서 내용에서 계산된 MD5 해시와 일치해야 인증서가 유효한 것으로 간주된다.<sup>[4]</sup>

Thawte 서버 인증 기관 인증서는 자체 서명된 인증서로, 발급자와 주체가 동일하다. 이 인증서는 자체적으로 검증할 수 없으므로, 웹 브라우저에 미리 설치된 루트 인증서 목록에 포함되어 신뢰성을 확보한다. Thawte는 마이크로소프트와 Netscape 모두에서 인정하는 루트 인증 기관 중 하나였다. 이러한 루트 인증서는 X509v3 기본 제약 조건 섹션에 CA:TRUE로 표시되어 모든 항목에 서명할 수 있는 권한을 가지며, 해당 개인 키는 매우 엄격하게 보호되어야 한다.<sup>[4]</sup>

상호 인증은 두 개의 PKI(공개 키 기반 구조)가 서로의 인증서를 신뢰하도록 구성하는 방식이다. 이를 통해 각 PKI의 사용자는 상대방 PKI의 인증서를 사용하여 안전하게 통신하고 서비스를 이용할 수 있다.<sup>[4]</sup>

5. 보안

브루스 슈나이어, 피터 구트만을 비롯한 여러 보안 전문가들이 PKI(공개 키 기반 구조) 문제에 대한 많은 글을 발표했다.<sup>[12][13][14]</sup>

• 구조적 약점:
• 무효화된 인증서의 차단 목록(CRL 및 OCSP) 사용의 문제점
• 클라이언트가 CRL을 사용할 수 있을 때만 인증서를 신뢰하면 PKI의 오프라인 기능이 사라진다. 대부분의 클라이언트는 CRL을 사용할 수 없을 때도 인증서를 신뢰하는데, 이 경우 통신 채널을 제어하는 공격자가 CRL을 비활성화할 수 있다.
• CRL은 크기가 크고 배포 패턴이 복잡하다.
• 모호한 OCSP 의미론 및 과거 폐지 상태 부재.
• 루트 인증서의 폐지는 해결되지 않았다.
• 집계 문제: ID, 속성, 정책 클레임이 단일 컨테이너에 결합되어 개인 정보 보호, 정책 매핑 및 유지 관리 문제가 발생한다.
• 위임 문제: CA는 하위 CA가 제한된 네임스페이스 또는 속성 집합 외부에서 인증서를 발급하는 것을 기술적으로 제한할 수 없다.
• 연합 문제: 하위 CA, 브리지 CA 및 교차 서명의 결과인 인증서 체인은 유효성 검사를 복잡하고 비용이 많이 들게 한다.
• 확장 유효성(EV) 인증서는 중간자 공격을 막지 못한다.<sup>[17]</sup>
• 인증 기관 관련 문제:
• 인증서를 구매하는 개인 또는 단체는 가장 저렴한 인증 기관을 이용하는 경향이 있다. 이로 인해 CA는 가격을 인하하고 유효성 검사를 제거하는 가격 경쟁을 벌인다.
• CA는 인증 실무 명세서(CPS)에서 사용자 및 의존 당사자에게 거의 모든 보증을 거부한다.
• CA는 운영하는 법적 관할권의 적용을 받으며, 고객 및 사용자의 이익을 침해하도록 법적으로 강요받을 수 있다. 정보 기관은 CA의 불법적인 침해를 통해 허위 인증서를 발급하여 중간자 공격을 수행하기도 한다.
• 구현 문제:
• 많은 구현에서 해지 확인을 끈다.
• DN(식별 이름)은 복잡하고 이해가 부족하다.
• 이름 및 정책 제약 조건이 거의 지원되지 않는다.
• 키 사용을 무시하고 목록의 첫 번째 인증서를 사용한다.
• 사용자 지정 OID(객체 식별자) 시행이 어렵다.
• X.509의 구현 오류로 인해 위조된 주체 이름을 사용하거나 인증서에서 코드 삽입 공격을 할 수 있다.
• 암호화 약점:
• 디지털 서명 시스템은 안전한 암호화 해시 함수에 의존한다. 공개 키 기반 구조가 더 이상 안전하지 않은 해시 함수를 사용하도록 허용하는 경우, 공격자는 해시 함수의 취약점을 악용하여 인증서를 위조할 수 있다.
• MD2, MD5, SHA-1 기반 인증서는 해시 충돌 공격에 취약하다.

5. 1. 암호화 약점 완화

6. PKI 표준 및 워킹 그룹

1995년 인터넷 엔지니어링 태스크 포스(IETF)는 국립 표준 기술 연구소(NIST)와 함께 공개 키 기반 구조(X.509) 워킹 그룹(PKIX 워킹 그룹)을 결성했다.<sup>[37]</sup> 이 워킹 그룹은 X.509를 실제 사용하고 배포하는 방법에 대한 RFC 및 기타 표준 문서를 작성했으며, 2014년 6월에 종료되었다.<sup>[38]</sup> 특히, PKIX는 X.509를 인터넷 프로토콜에서 사용하는 방법을 정의하는 RFC 3280과 후속 RFC 5280을 작성했다. PKIX는 Public-Key Infrastructure using X.509의 약어이다.

7. 주요 프로토콜 및 표준

X.509 인증서를 사용하는 주요 프로토콜 및 표준은 다음과 같다.

• PKCS#7(암호화 메시지 구문 표준): PKI를 위한 서명 및/또는 암호화 메시지에 사용되는 신원 증명과 함께 공개 키를 사용한다.<sup>[36]</sup>
• 전송 계층 보안(TLS) 및 이전 버전인 SSL: 인터넷 보안 통신을 위한 암호화 프로토콜이다.<sup>[36]</sup>
• 온라인 인증서 상태 프로토콜(OCSP)<sup>[36]</sup> / 인증서 폐지 목록(CRL)<sup>[36]</sup>: 인증서 폐지 상태를 확인하는 데 사용된다.
• PKCS#12(개인 정보 교환 구문 표준): 개인 키와 해당 공개 키 인증서를 함께 저장하는 데 사용된다.<sup>[36]</sup>
• 4158: 애플리케이션 내에서 X.509 공개 키 인증 경로 구축(예: CA 인증서를 사용하여 최종 개체 인증서 유효성 검사)을 위한 지침 및 권장 사항
• HTTPS: TLS/SSL은 X.509의 프로파일을 사용한다.
• S/MIME (보안 다목적 인터넷 메일 확장)
• 와이파이 인증을 위한 EAP-TLS 방식
• SMTP, POP, IMAP, LDAP, XMPP 등 TLS를 사용하는 모든 프로토콜
• IPsec: 피어를 인증하기 위해 프로파일을 사용할 수 있다.
• [https://apps.cablelabs.com/specification/opencable-security-specification OpenCable 보안 사양]: 케이블 산업에서 사용하기 위한 자체 X.509 프로파일을 정의한다.
• 스마트 카드 및 TPM과 같은 장치: 자신 또는 소유자를 식별하기 위해 주로 인증서를 사용하며, 이러한 인증서는 X.509 형식이다.
• WS-Security 표준: TLS를 통하거나 자체 인증서 프로파일을 통해 인증을 정의한다.<sup>[39]</sup> 두 가지 방법 모두 X.509를 사용한다.
• 마이크로소프트 Authenticode 코드 서명 시스템: 컴퓨터 프로그램의 작성자를 식별하기 위해 X.509를 사용한다.
• OPC UA 산업 자동화 통신 표준은 X.509를 사용한다.
• SSH: 일반적으로 최초 사용시 신뢰 보안 모델을 사용하며 인증서가 필요하지 않다. 그러나 널리 사용되는 OpenSSH 구현은 자체 비 X.509 인증서 형식을 기반으로 하는 CA 서명된 ID 모델을 지원한다.<sup>[40]</sup>

참조

<sub>[1]</sub> 웹사이트 X.509: Information technology - Open Systems Interconnection - The Directory: Public-key and attribute certificate frameworks https://www.itu.int/[...] ITU 2019-11-06
<sub>[2]</sub> 웹사이트 Monumental Cybersecurity Blunders https://circleid.com[...] 2022-09-03
<sub>[3]</sub> 웹사이트 Engineering Security https://www.cs.auckl[...] 2014-04
<sub>[4]</sub> 웹사이트 x509Certificate https://developer.ap[...] Apple Inc
<sub>[5]</sub> 웹사이트 CA:IncludedCAs https://wiki.mozilla[...] 2017-01-17
<sub>[6]</sub> 웹사이트 Bug 110161 - (ocspdefault) enable OCSP by default https://bugzilla.moz[...] Mozilla 2016-03-17
<sub>[7]</sub> 웹사이트 All About Certificate Extensions https://developer.mo[...] Mozilla 2020-09-10
<sub>[8]</sub> 웹사이트 What is a Pem file and how does it differ from other OpenSSL Generated Key File Formats? https://serverfault.[...] 2009-05-19
<sub>[9]</sub> 서적 Understanding Certification Path Construction http://www.oasis-pki[...] PKI Forum 2002-09
<sub>[10]</sub> 서적 Qualified Subordination Deployment Scenarios https://technet.micr[...] Microsoft 2009-08
<sub>[11]</sub> 서적 PKI: Implementing and Managing E-Security RSA Press - Osborne/McGraw-Hill
<sub>[12]</sub> 웹사이트 Top 10 PKI risks https://www.schneier[...] Computer Security Journal (Volume XVI, Number 1, 2000)
<sub>[13]</sub> 웹사이트 PKI: it's not dead, just resting http://www.cs.auckla[...] IEEE Computer (Volume:35, Issue: 8)
<sub>[14]</sub> 웹사이트 Everything you Never Wanted to Know about PKI but were Forced to Find Out http://www.cs.auckla[...] 2011-11-14
<sub>[15]</sub> 웹사이트 Revocation checking and Chrome's CRL https://www.imperial[...] Imperial Violet 2017-02-02
<sub>[16]</sub> 웹사이트 Security Systems Business Plan Sample [2021] https://www.ogscapit[...] 2021-06-30
<sub>[17]</sub> 웹사이트 Sub-Prime PKI: Attacking Extended Validation SSL https://www.blackhat[...] Blackhat 2020-09-10
<sub>[18]</sub> 웹사이트 Extended Validation Certificates are Dead https://www.troyhunt[...] 2019-02-26
<sub>[19]</sub> 웹사이트 Certification Authority — Certification Practice Statement https://www.apple.co[...] Apple, Inc 2016-08-19
<sub>[20]</sub> 웹사이트 Logius: Dutch Government CA trust issue https://bugzilla.moz[...] 2017-10-31
<sub>[21]</sub> 웹사이트 More Tricks for Defeating SSL in Practice https://www.blackhat[...] Blackhat 2020-09-10
<sub>[22]</sub> 문서 Rec. ITU-T X.690, clause 8.19.2
<sub>[23]</sub> 웹사이트 26C3: Black Ops Of PKI https://events.ccc.d[...] Der Chaos Computer Club 2013-09-29
<sub>[24]</sub> 간행물 On the possibility of constructing meaningful hash collisions for public keys http://www.win.tue.n[...] Lucent Technologies, Bell Laboratories & Technische Universiteit Eindhoven 2005-05-19
<sub>[25]</sub> 웹사이트 MD5 considered harmful today http://www.win.tue.n[...] Eindhoven University of Technology 2013-09-29
<sub>[26]</sub> 웹사이트 Eurocrypt 2009 https://www.iacr.org[...] International Association for Cryptologic Research
<sub>[27]</sub> 웹사이트 SHA-1 collisions now http://eurocrypt2009[...] Macquarie University and Qualcomm 2020-09-10
<sub>[28]</sub> 웹사이트 SHA-1 Collision Attacks Now 252 https://www.securewo[...] SecureWorks Insights 2009-06-02
<sub>[29]</sub> 웹사이트 The first collision for full SHA-1 https://shattered.io[...] CWI Amsterdam & Google Research 2020-09-10
<sub>[30]</sub> 뉴스 Baseline Requirements Documents https://cabforum.org[...] 2017-03-19
<sub>[31]</sub> 뉴스 SHA-1 Certificates in Chrome https://security.goo[...] 2017-03-19
<sub>[32]</sub> 웹사이트 The end of SHA-1 on the Public Web https://blog.mozilla[...] 2017-03-19
<sub>[33]</sub> 웹사이트 Microsoft Security Advisory 4010323 https://technet.micr[...] Microsoft 2017-05-16
<sub>[34]</sub> 뉴스 Safari and WebKit do not support SHA-1 certificates https://support.appl[...] 2020-09-10
<sub>[35]</sub> 웹사이트 Lesser HTTPS for non-browsers https://daniel.haxx.[...] 2017-01-10
<sub>[36]</sub> 웹사이트 PKCS 12: Personal Information Exchange Syntax Standard https://web.archive.[...] RSA Laboratories 2017-03-19
<sub>[37]</sub> 웹사이트 Public-Key Infrastructure (X.509) (pkix) - Charter https://datatracker.[...] Internet Engineering Task Force 2013-10-01
<sub>[38]</sub> 웹사이트 Pkix Status Pages https://tools.ietf.o[...] 2017-03-10
<sub>[39]</sub> 웹사이트 Web Services Security X.509 Token Profile Version 1.1.1 https://docs.oasis-o[...] Oasis 2017-03-14
<sub>[40]</sub> 웹사이트 How To Create an SSH CA to Validate Hosts and Clients with Ubuntu https://www.digitalo[...] DigitalOcean 2017-03-19
<sub>[41]</sub> 웹사이트 Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile https://datatracker.[...] 2019-03-09
<sub>[42]</sub> IETF Internet X.509 Public Key Infrastructure Operational Protocols: FTP and HTTP 2022-02-12
<sub>[43]</sub> IETF Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile 2022-02-12
<sub>[44]</sub> IETF Textual Encodings of PKIX, PKCS, and CMS Structures 2022-02-12
<sub>[45]</sub> 웹사이트 Top 10 PKI risks https://www.schneier[...] Computer Security Journal (Volume XVI, Number 1, 2000) 2016-04-01
<sub>[46]</sub> 웹사이트 PKI: it's not dead, just resting http://www.cs.auckla[...] IEEE Computer (Volume:35, Issue: 8) 2016-04-01
<sub>[47]</sub> 웹사이트 Everything you Never Wanted to Know about PKI but were Forced to Find Out http://www.cs.auckla[...] 2011-11-14