PKI & Certificate Management

1. Overview

PKI 및 인증서 관리(PKI & Certificate Management, PCM)는 모르는 사람의 공개키를 "정말 그 사람의 것"이라고 믿어도 되는지 수리적으로 보증해주는 '디지털 신뢰 인프라'이자, 복잡한 암호키들의 생애 주기를 통제하는 '키 거버넌스 물리학'입니다.

학습자는 인증서를 발급하는 **인증 기관(CA)**의 위계 구조와, 하드디스크에 저장된 X.509 인증서 형식을 분석하는 수리적 수순을 배웁니다. 특히, 최상위 신뢰점인 Root CA로부터 개인 사이트까지 이어지는 **신뢰 체인(Chain of Trust)**의 물리적 연결 고리를 익힙니다. 이를 통해 안전한 웹 브라우징(HTTPS)뿐 아니라 기업 내 하드웨어 기기 간의 상호 인증(mTLS) 체계를 구축하는 하이엔드 보안 아키텍처 역량을 확보합니다.

2. Scope & Boundaries

In-Scope

• PKI Architecture: CA, RA, Repository, Certificate Holder의 물리적 역할 분담
• Certificate Components: X.509 표준 필드, 확장 영역, 디지털 인장의 수리적 구성
• Trust Hierarchy: Root CA, Intermediate CA가 형성하는 수리적 트리 구조
• Lifecycle Management: CSR 생성, 발급, 갱신, 폐기(CRL, OCSP)의 물리적 프로세스
• Mutual TLS (mTLS): 서버와 클라이언가 서로의 인증서를 수리 검증하는 양방향 물리 수순

Out-of-Scope

• 인증서 내에 들어가는 암호 알고리즘(RSA, ECC)의 수학적 내부 로직 (10-01-01 SAA 영역에서 분담)
• 웹 서버(Nginx, Apache)의 설정 파일 문법 상세 (09-03-03 IDP 영역에서 분담)

Boundaries

• PCM vs. HDS: HDS(10-01-02)가 단일 서명의 '수리적 진위'에 집중한다면, PCM은 그 서명에 '누구'라는 현실의 가치를 부여하고 이를 대규모 하드웨어 네트워크에 배포하는 '체계 관리'에 집중하여 구분합니다.

3. Counterexample

• 단순히 "공짜 인증서 받기"라 설명하는 것은 PCM 학습이 아닙니다. 왜 Self-signed 인증서가 수리적으로는 동일한 암호 강도를 가짐에도 불구하고 타인에게 '신뢰'를 얻지 못해 브라우저에서 물리적 경고를 띄우는지 증명할 수 있어야 하며, **인증서 폐기 목록(CRL)**의 업데이트 지연이 해킹된 하드웨어 키를 유효한 것으로 오판하게 만드는 보안 시차($Lag$)를 논증하지 못한다면 PKI의 본질을 이해하지 못한 것입니다.

4. Prerequisites

• Hash Functions & Digital Signatures (Basic): 10-01-02의 서명 및 검증 원리 이해가 필수입니다.
• Symmetric & Asymmetric Algorithms (Basic): 10-01-01의 공개키/개인키 쌍 개념 이해가 필수입니다.

5. Learning Map

1. Digital Identity Card: 아무나 만들 수 없는, 공인된 신분증(인증서)의 구조를 분해합니다.
2. Pyramid of Trust: 내가 믿는 신뢰 기관이 남을 보증하는 '신뢰의 전이' 물리 법칙을 배웁니다.
3. The Lifecycle Loop: 키를 만들고, 서명을 받고, 기간이 지나면 버리는 유기적 순환을 관리합니다.
4. Machine-to-Machine Trust: 사람을 넘어, 수만 대의 하드웨어가 서로를 인증서로 알아보는 장관을 구축합니다.

6. Learning Topics

Basic

Core: X.509 인증서 구조와 신뢰의 전이 (Certificate Anatomy)

• Why to Learn: 브라우저 주소창의 자물쇠 아이콘이 어떤 수리적 근거로 나타나는지 알기 위해서입니다.
• What to Learn:
  • X.509 Fields: 일련번호, 주체, 발급자, 유효기간 등의 물리적 데이터 명세
  • Public Key Embedding: 인증서 내부에 안전하게 담긴 상대방의 수리적 열쇠
  • Root of Trust: 내 컴퓨터 하드웨어에 미리 설치된 '믿을 만한 기관' 리스트
• How to Learn:
  • 특정 웹사이트의 인증서 정보를 브라우저 도구로 열어보고, 발급 계층도($Hierarchy$)를 밑바닥부터 Root까지 거슬러 올라가는 실습
  • 인증서의 유효기간($Not After$)을 인위적으로 만료시켰을 때 하드웨어에서 발생하는 오류 코드 분석
• Implement: CRT 파일을 읽어 주요 메타데이터를 텍스트로 출력하는 CertInspector

Recommended

Core: 인증서 발급과 폐기 프로세스 (Lifecycle Operations)

• Why to Learn: 해킹당한 키가 계속 유용하게 쓰여 시스템 전체가 물리적으로 털리는 대참사를 막기 위해서입니다.
• What to Learn:
  • CSR (Certificate Signing Request): 내 정보를 담아 CA에게 도장을 찍어달라는 물리적 요청서
  • CRL vs OCSP: "이 신분증은 이제 가짜입니다"라고 세상에 알리는 실시간 수리 방법론
  • Key Rotation: 키가 낡거나 오염되기 전에 주기적으로 교체하는 거버넌스 수순
• How to Learn:
  • openssl로 CSR을 직접 생성하고, 사설 CA를 구축하여 서명된 아티팩트를 뽑아내는 물리 공정 실습
  • OCSP Stapling 기술이 서버 부하와 프라이버시를 수치적으로 어떻게 개선하는지 연구
• Implement: 인증서 만료일을 감시하여 남은 날짜($D-Day$)를 알림으로 보내는 ExpiryStalker

Practical

Core: mTLS와 서비스 간 인증 (Infrastructure Security)

• Why to Learn: 아이디/패스워드 없이도 서버끼리 서로를 수리적으로 완벽히 알아보게 하기 위해서입니다.
• What to Learn:
  • Mutual Authentication: 서버도 클라이언트를 확인하는 물리적 대칭성
  • Intranet PKI: 외부 CA를 쓰지 않고 기업 내부 하드웨어들끼리만 통하는 비밀 신뢰망
  • SVID & SPIFFE: 클라우드 환경에서 동적으로 변하는 하드웨어 아이덴티티 관리 표준
• How to Learn:
  • 두 대의 가상 서버 간의 통신에서 클라이언트 인증서가 없을 때 접속이 물리적으로 차단되는 현상 재현 실습
  • mTLS 적용 전후의 핸드쉐이크 소요 시간($ms$) 차이를 패킷 단위로 수치 측정
• Implement: 클라이언트 인증서를 요구하도록 설정된 간단한 SecureEchoServer

Advanced

Core: 자동화된 인증 거버넌스 ACME (Scalable Trust)

• Why to Learn: 수천 장의 인증서를 사람이 손으로 갱신하다가 깜빡하여 전산 마비가 오는 일을 물리적으로 근절하기 위함입니다.
• What to Learn:
  • ACME Protocol: Let's Encrypt 등이 사용하는 인증서 자동 발급/갱신 수리 규약
  • Domain Validation Mechanics: 특정 도메인의 소유권을 하드웨어적으로 증명하는 수순(HTTP-01, DNS-01)
  • Transparency Logs: 발급된 모든 인증서를 공개 장부에 기록해 부정한 발급을 감시하는 법
• How to Learn:
  • Cert-manager를 사용하여 쿠버네티스 내의 모든 인프라 인증서가 자동 갱신되는 'Zero-touch' 환경 구축 실습
  • 인증서 투명성($CT$) 로그를 조회하여 특정 기업을 사칭하는 가짜 인증서가 발급되었는지 수치 추적
• Implement: ACME 챌린지에 대응하여 도메인 유효성을 증명하는 가상 TrustResponder

7. Terminology

8. References

Primary

• [P1] CS2023 - SEC/Security (Public key infrastructure) — Educational foundations.
• [P3] CyBOK - Cryptography Knowledge Area (Key Management) — Structural standards.

Secondary

• [Bulletproof TLS and PKI] Ivan Ristić — The definitive manual for PCM.
• [RFC 5280: Internet X.509 Public Key Infrastructure] — Technical specification.

Industry

• [Let's Encrypt: How It Works] — Modern automation case study.
• [Cloudflare: What is PKI?] — Industry educational resource.

9. Final Checklist

Primary

• 'Root CA'인증서가 다른 인증서와 달리 '자가 서명($Self-signed$)' 되어 있어야만 하는 물리적 이유를 설명 가능한가? (P3)
• '인증서 체인'의 수리적 검증 과정에서 '중간 CA'의 역할과 필요성을 기술할 수 있는 가? (P1)

Secondary

• 'SSL/TLS Handshake' 과정에서 하드웨어 성능 저하를 일으키는 가장 큰 수리적 병목 구간을 지목할 수 있는 가?
• **인증서 폐기(Revocation)**가 적시에 이루어지지 않았을 때 발생하는 '위험 지연 시간'의 물리적 파급력을 논증할 수 있는 가?

Industry

• 실무 서비스에서 'Wildcard 인증서'와 'Multi-domain 인증서'의 보안 경계 및 물리적 관리 편의성 트레이드오프를 제안할 수 있는 가? (SFIA)
• Cert-manager와 같은 자동화 도구가 하드웨어 운영 비용($OpEx$)과 장애 발생률을 수치적으로 얼마나 낮출 수 있는지 분석할 수 있는 가?