인증서 폐지목록 (Certificate Revocation List (CRL))
쉽게 풀면
도난당한 신용카드 번호를 모아둔 블랙리스트와 비슷합니다. 인증서는 발급될 때 유효기간이 정해지지만, 개인키가 유출되거나 회사가 폐업하는 등의 사유로 유효기간이 남았음에도 더 이상 믿을 수 없게 되는 경우가 있습니다. 이런 인증서들의 목록을 인증기관이 주기적으로 발행하고, 브라우저나 시스템은 접속 전에 이 목록을 확인해 폐지된 인증서인지 점검합니다. 목록에 있으면 유효기간이 남아 있어도 신뢰하지 않습니다.
왜 중요한가
정보보안학에서 인증서의 신뢰 여부를 실시간으로 확인하는 문제는 PKI 운영의 핵심 과제로 다뤄집니다. CRL은 이 문제에 대한 가장 오래된 해법 중 하나로, 이후 등장한 OCSP 같은 실시간 확인 방식과 성능·확장성 측면에서 비교되며 인증서 상태 관리 연구에서 기준점으로 자주 언급됩니다.
논문에서는 이렇게 쓰입니다
목록 갱신 주기가 실제 보안 대응 속도에 미치는 영향을 다룬 사례입니다.
대량의 폐지 항목으로 인한 목록 크기 문제를 해결하려는 연구의 예시입니다.
조금 더 깊게 보면
CRL은 인증기관이 서명하여 배포하는 파일 형태로, 클라이언트는 이를 주기적으로 다운로드해 로컬에서 검사합니다. 이 방식은 실시간성이 떨어지고 목록 크기가 커질수록 다운로드 부담이 늘어난다는 한계가 있어, 개별 인증서 단위로 실시간 조회가 가능한 OCSP가 보완책으로 함께 사용되는 경우가 많습니다. 델타 CRL은 전체 목록 대신 이전 배포 이후 변경분만 담아 전송함으로써, 대규모 환경에서 반복되는 CRL 다운로드 부담을 줄이는 보완 방식으로 활용됩니다. CRL 배포지점(CDP) 확장 필드는 인증서 안에 해당 CRL을 어디서 받을 수 있는지 URL로 명시해 클라이언트가 자동으로 찾아가게 합니다. 일부 브라우저는 CRL 전체를 매번 내려받는 대신 자체적으로 압축·집계한 폐지 목록을 주기적으로 배포해 클라이언트 부담을 줄이는 방식을 채택하기도 합니다.
주의할 점
CRL은 정기 배포 방식이므로 목록이 갱신되기 전 짧은 시간 동안은 이미 폐지된 인증서가 여전히 유효한 것으로 인식될 수 있습니다. 또한 목록 크기가 커질수록 클라이언트의 다운로드 및 처리 부담도 증가합니다.