인증기관 (Certificate Authority)
쉽게 풀면
인증기관은 신분증을 발급하는 관공서 역할을 하는 조직이라고 생각하면 됩니다. 어떤 사람이나 조직이 공개키를 제출하면, 인증기관은 그 신원을 확인한 뒤 자신의 서명을 담은 인증서를 발급해줍니다. 이 인증서를 받은 다른 사람들은 인증기관을 신뢰하기로 사전에 동의했기 때문에, 인증서에 담긴 정보도 함께 신뢰할 수 있게 됩니다. 웹 브라우저나 운영체제에는 이렇게 신뢰할 수 있는 인증기관 목록이 미리 내장되어 있습니다.
왜 중요한가
인증기관은 PKI 전체 신뢰 체계의 뿌리 역할을 하기 때문에, 이 기관 자체의 신뢰성과 안전성이 흔들리면 그 아래의 모든 인증서에 대한 신뢰도 함께 무너질 수 있습니다. 정보보안학에서는 인증기관의 발급 절차, 다수 인증기관을 신뢰하는 계층 구조, 인증기관이 침해당했을 때의 대응 방안 등이 중요한 연구 주제로 다루어집니다. 실제로 과거 일부 인증기관에서 부정 발급 사고가 발생하면서, 이 분야에 대한 검증과 감시의 중요성이 부각되기도 했습니다.
논문에서는 이렇게 쓰입니다
중앙집중형 인증기관 구조가 가진 한계를 개선하려는 연구 방향을 보여줍니다.
여러 인증기관이 존재하는 환경에서 발생할 수 있는 신뢰 문제를 다루는 사례입니다.
조금 더 깊게 보면
인증기관은 최상위의 루트 인증기관과 이를 위임받은 중간 인증기관으로 계층 구조를 이루는 경우가 많으며, 이를 통해 인증서 검증 시 신뢰 사슬을 따라가는 방식이 가능해집니다. 인증기관이 특정 인증서를 더 이상 신뢰할 수 없다고 판단하면 인증서 폐기 목록에 등록해 무효화합니다.
주의할 점
인증기관이 발급한 인증서라도 발급 절차에 허점이 있거나 인증기관 자체가 침해당하면 부정한 인증서가 발급될 위험이 있습니다.