요약

  • Let’s Encrypt는 10월 15일 원격 검증점을 네 곳에서 여섯 곳으로 늘리겠다고 발표했고, 27일에는 시험 환경에서 여섯 곳을 실제 사용한다고 알렸다. 기본 관측점 하나를 포함하면 검증 요청은 모두 일곱 번이다.
  • CA/Browser Forum의 정족수 표는 원격 관측점이 두～다섯 곳일 때 미확인 하나, 여섯 곳 이상일 때 둘을 허용한다. 긍정 확인은 서로 다른 두 RIR 서비스 권역에서 나와야 한다. 운영 환경 적용 목표는 시험 결과를 조건으로 한 11월 10일이다.

관리자의 브라우저에는 답이 보인다

웹사이트 관리자는 도메인 검증용 응답을 서버에 올리고 자기 사무실에서 확인한다. 응답이 보이면 인증서 갱신도 끝날 것 같다. 인증기관이 확인해야 할 것은 다른 네트워크 경로에서도 같은 응답이 보이는지다. BGP 경로를 우회시킨 공격자가 검증기 한 대를 엉뚱한 서버로 보내면 그 검증기는 잘 꾸민 답을 받을 수 있다. 그 뒤 발급된 인증서는 브라우저가 신뢰한다. 브라우저는 검증 요청이 지나간 길을 나중에 되짚지 않는다.

다중 관점 발급 확인은 기본 관측점의 도메인 통제 또는 CAA 허가 판단을 원격 관측점들이 다시 확인하게 한다. Let’s Encrypt의 10월 15일 공지는 기존 원격 네 곳에 둘을 추가해 여섯 곳으로 만들고, 기본 데이터센터 한 번과 원격 여섯 번의 검증 요청을 보낼 계획이라고 적었다. 같은 글의 27일 추가 안내는 시험 환경에서 여섯 원격 관측점을 사용 중이라고 확인한다. 운영 환경 전환 목표는 11월 10일이며 시험 결과가 조건이다. 확인한 공지에는 운영 환경 전환을 마쳤다는 기록은 아직 없다.

CA/Browser Forum의 현행 기본 요구사항은 2026년 6월 15일부터 해당 검증에 원격 관측점 최소 네 곳을 요구한다. 12월 15일부터는 다섯 곳이 최소다. 기본 관측점의 판단을 긍정 확인하는 원격 관측점들은 적어도 두 RIR 서비스 권역에 있어야 한다. 지도에 여섯 점을 찍어놓았다는 사실만으로 통과하지 못한다. 실제로 긍정 결과를 낸 점들이 어느 권역에 있는지가 기준이다.

여섯 번째가 사들인 여유

정족수 표의 계산은 간단하다. 서로 다른 원격 관측점 두～다섯 곳을 쓸 때는 긍정 확인을 하지 못한 곳이 하나까지 허용된다. 여섯 곳 이상이면 둘까지다. 원격 여섯 곳 가운데 네 곳이 기본 판단을 확인하고 두 곳이 다르거나 확인하지 못해도, 다른 요건이 맞으면 발급할 수 있다. 다섯 곳을 쓸 때도 긍정 확인 네 곳이 필요하지만 불일치 자리는 하나뿐이다. 여섯 번째 관측점은 긍정표의 수를 줄이는 장식이 아니라, 두 번째 나쁜 결과를 견디기 위해 추가한 독립 관측이다.

독립성은 운영 설정으로 입증해야 한다. 기본 요구사항은 관측점 사이의 직선거리가 최소 500킬로미터일 때 별개의 관측점으로 센다. 원격점은 기본점과도, 같은 정족수에 들어가는 다른 원격점과도 구별돼야 한다. 도메인 통제와 CAA 검사에 다른 관측점 묶음을 사용한다면 각각 정족수를 채워야 한다. DNS 캐시를 같이 쓰면서 하나의 답을 여러 표처럼 세는 것도 금지다. 재시도는 즉시 가능하고 다른 검증 방법을 써도 되지만, 앞선 시도에서 얻은 긍정표는 다음 시도로 옮길 수 없다. 여러 번의 미완성 투표에서 유리한 표만 모아 과반을 만들 수 없다는 뜻이다.

2024년 운영 공지는 그해 3월 27일 원격 네 곳이 운영 환경에서 작동한다고 확인했다. 이번 공지가 확인한 다음 상태는 원격 여섯 곳의 시험 가동이다. Let’s Encrypt는 BGP 공격에 대한 가시성과 방어를 늘리는 것이 확장 이유라고 설명한다. 다른 경로의 증인과 두 권역 조건이 그 설명을 실제 발급 규칙으로 바꾼다. 시험 환경의 실패율이나 실제로 막아낸 공격 건수는 해당 공지에 없다.

거절에도 이유가 있어야 한다

정족수나 두 권역 조건이 충족되지 않으면 인증기관은 인증서를 발급해서는 안 된다. 자동 갱신에 의존하는 사이트에서는 이 문장이 실제 오류가 된다. 관리자의 컴퓨터에서 과제 응답이 열려도 원격 검증점에서는 닿지 않을 수 있다. 응답 내용이 틀렸는지, 네트워크 경로가 막혔는지, CAA가 발급을 금지하는지, 긍정표가 한 권역에만 몰렸는지에 따라 고쳐야 할 대상이 달라진다.

규칙은 즉시 다시 검증하도록 허용한다. 단, 새 시도는 새 관측으로 채워야 한다. 일시적인 연결 장애가 사라진 것과 오래된 긍정표를 재활용한 것은 전혀 다른 결정이다. 발급기관은 오류 원인을 구분해 기록해야 한다. 단순히 “검증 실패”라고만 전하면 사이트 운영자는 어디를 고쳐야 할지 모르고, 발급기관도 거절 과정을 설명하기 어렵다.

확인한 10월 공지에는 시험 성공률, 지연 분포, 갱신 거절 건수가 없다. 여섯 곳이 운영 환경에서도 작동한다는 날짜가 찍힌 공지가 다음 증거다. 그 뒤 집계된 거절 사유가 여섯 번째 관측점의 실제 비용과 이익을 보여줄 것이다. 지금 공개된 사실은 시험 가동과 조건부 운영 계획이다.

정족수의 숫자는 CA/Browser Forum이 정한다. 관측점 배치와 실행은 Let’s Encrypt가 맡는다. 거절의 비용은 신청자가 감당한다. 인증서는 그 결정이 끝난 뒤 나오는 결과물이다.