Certificate Transparency Monitoring 정식 출시

Certificate Transparency (CT) 모니터링이 정식 출시(GA)되었다. 이 서비스는 도메인에 대한 새로운 TLS 인증서가 공개 CT 로그에 나타날 때 알림을 보내, 잘못 발행된 인증서를 조기에 발견할 수 있도록 돕는다.

기존에는 Cloudflare가 고객을 대신해 발행하는 대량의 인증서(Universal SSL, Advanced Certificate Manager 등)가 모두 알림으로 전송되는 '노이즈' 문제가 있었다. 인증서 수명이 짧아지고 자동 갱신이 빈번해짐에 따라, 정작 중요한 보안 위협 알림이 일상적인 갱신 알림에 묻히는 현상이 발생했다.

이를 해결하기 위해 Cloudflare는 알림 전송 전 Cloudflare가 발행한 인증서를 필터링하는 기능을 도입했다. 이제 사용자는 Cloudflare가 발행하지 않은, 예상치 못한 인증서에 대한 알림만 받을 수 있다.

기술적으로는 인증서 관리 시스템과 CT 알림 서비스 간의 데이터 불일치 문제를 해결하는 것이 핵심이었다. 인증서 발급 과정에서 pre-certificate가 로그에 먼저 기록되는데, 이때는 아직 주문 서비스(Ordering Service)에 해당 인증서의 식별자인 stripped_fingerprint가 등록되지 않아 자사 발행 여부를 즉시 확인할 수 없는 문제가 있었다.

Cloudflare는 이 문제를 해결하여, 일상적인 갱신 알림은 제거하고 실제 보안 위협이 될 수 있는 외부 인증서 발행에 대해서만 정확한 알림을 제공한다.