Summary

  • 10월 27일 나온 dns-account-01 제04판은 11월 10일까지 IESG 최종 의견수렴을 거친다. ACME 계정마다 별도 DNS 검증 이름을 만들어 같은 도메인을 다루는 독립 시스템들이 CNAME을 각각 위임하게 한다.
  • 이름은 계정 URL의 SHA-256 앞 10바이트를 Base32로 표현해 만든다. 계정 키를 교체해도 유지되지만 서버 이전으로 계정 URL이 바뀌면 미리 배치한 DNS 레코드가 어긋날 수 있다.

병목은 기존 dns-01의 _acme-challenge에 있다. 한 이름에 TXT 값 여러 개를 둘 수는 있다. 그러나 서로 다른 두 팀이 같은 이름을 각자의 검증 시스템으로 CNAME 위임하려면 한쪽만 목적지가 될 수 있다. DNS 이름 하나에 CNAME 대상은 하나이기 때문이다. 서버를 두 곳에 나눠 놓고도 도메인 통제 증명에서는 같은 문을 쓴다.

IETF 초안은 ACME 계정 URL 전체를 SHA-256으로 해시하고 앞 10바이트를 Base32로 바꿔 _acme-challenge 앞에 붙인다. 문서의 예시는 _ujmmovf2vn55tgye._acme-challenge.example.org이다. 계정이 다르면 DNS 이름도 달라져 각각 자기 검증 시스템으로 CNAME을 걸 수 있다. ACME 서버는 그 경로를 따라 TXT를 찾고 도전 토큰의 키 승인 값과 대조한다.

제3.5절은 새 의존성을 드러낸다. URL의 방식, 호스트, 포트, 경로 전체가 이름 계산에 들어간다. 계정 키 교체는 이름을 보존한다. 반면 ACME 서비스가 이전하면서 계정 URL을 바꾸면 기존 검증 이름을 다시 마련해야 할 수 있다. 초안은 계정 식별자를 유지하고 불가피한 변경 때 예전 kid URL도 받아들이도록 권고한다. IETF 문서 기록은 제04판을 11월 10일 마감인 최종 의견수렴 단계로 표시한다.

실제 지원 서버와 클라이언트 목록, URL을 보존한 서비스 이전 사례는 아직 공개 자료에서 확인되지 않는다.