인증서 톺아보기 시리즈 3: 제로 트러스트와 mTLS

**mTLS(Mutual TLS)**는 서버와 클라이언트가 서로의 인증서를 검증하는 양방향 인증 방식이다. 일반 TLS가 서버만 신원을 증명한다면, mTLS는 서비스 간 통신에서 요청 주체까지 확인해 내부 연결의 신뢰 경계를 다시 세운다.

제로 트러스트는 네트워크 위치를 믿지 않고 매 연결마다 인증, 인가, 암호화를 요구하는 보안 철학이다. 그래서 mTLS는 마이크로서비스, API 보안, IoT 디바이스 인증, 관리자 접근, B2B 연동처럼 내부 통신이 많은 환경에서 핵심 기술로 쓰인다.

핸드셰이크는 TLS 1.2 기준으로 설명되며, TLS 1.3에서는 더 간결해진다. 서버가 인증서와 함께 Certificate Request를 보내 클라이언트 인증서를 요구하고, 클라이언트가 인증서와 Certificate Verify 서명으로 개인키 소유를 증명하면 서버는 CA 신뢰 여부, 유효기간, 폐기 여부, 서명 유효성을 확인하고 통신을 허용한다.

실무에서 가장 큰 문제는 인증서 라이프사이클 관리다.

• 수동 관리는 단순하지만 규모가 커질수록 한계가 뚜렷하다.
• Configuration Management(Ansible 등)와 Certificate Manager(Vault 등)는 배포를 자동화한다.
• Service Mesh(Istio, Linkerd)는 사이드카 프록시로 인증서 발급과 갱신까지 맡겨 코드 수정 없이 mTLS를 적용한다.

OpenSSL로 Root CA -> 서버 인증서 -> 클라이언트 인증서 체인을 직접 만드는 예시도 제시하지만, 서비스가 많아질수록 갱신·배포·폐기 관리 부담이 급격히 커진다. 이를 줄이기 위해 NHN Cloud Private CA는 발급, ACME 자동 갱신, CRL/OCSP, 중앙 관리, Service Mesh의 External CA 연동까지 묶어 운영을 단순화한다.