OCSP

OCSP란 무엇인가요?

OCSP는 디지털 인증서의 유효성을 확인하는 데 사용되는 네트워크 프로토콜입니다. CRL의 대안으로 만들어졌으며, 목록을 최신 상태로 유지하기 위해 업데이트를 자주 다운로드해야 하는 문제를 해결합니다.

사용자가 서버에 액세스하면 OCSP는 인증서 상태에 대한 요청을 보냅니다. 서버는 인증서 상태를 반환하여 인증서가 'valid', 'expired' 또는 'unknown'인지 알려줍니다. 이 프로토콜은 인증서 서버와 클라이언트가 서로 통신하는 방식을 정의합니다.

OCSP는 보안 인증서의 상태를 실시간으로 확인하며, 이는 Secure Socket Layer (SSL) 및 Transport Layer Security (TLS) 인증서의 확장 검증에 특히 중요합니다. HTTPS 연결을 설정하는 경우, 브라우저는 인증서가 여전히 활성 상태이며 취소되지 않았는지 확인하기 위해 인증 기관(CA)과 OCSP 확인을 수행합니다. 그러나 이 확인은 SSL 핸드셰이크를 지연시킬 수 있지만, 만료된 인증서로도 서버에 접근할 수 있게 하므로 인증서가 갱신될 때까지 사용자가 서버에 접근할 수 있도록 합니다.

OCSP는 어떻게 작동합니까?

인증서의 유효성을 확인해야 할 때, CA가 관리하는 OCSP 응답자에게 OCSP 요청이 전송됩니다. 이 응답자는 요청을 검증하고 인증서가 유효한지, 폐기되었는지 또는 알 수 없는지에 대한 상태를 반환합니다. OCSP는 Apple Safari, Internet Explorer, Microsoft Edge, Mozilla Firefox와 같은 대부분의 인기 브라우저에서 지원됩니다.

OCSP vs. CRL

웹사이트 인증서가 폐기되었는지 확인하기 위해 브라우저는 일반적으로 OCSP와 CRL을 모두 사용합니다. CRL은 CA에 의해 폐기된  인증서의 일련 번호 목록으로 작동하지만, 최신 상태가 아닐 수 있으므로 최신 상태를 유지하려면 주기적으로 다운로드해야 합니다.

CRL과 달리 OCSP는 인증서의 폐기 상태를 실시간으로 확인하여 인증서가 유효한지 보장하므로 보안과 서명을 개선합니다. 즉각적인 상태 업데이트를 제공함으로써 이 프로세스는 전체 목록을 다운로드하는 것보다 훨씬 더 효율적입니다.

OCSP의 과제

OCSP는 매우 효과적이지만, CA의 비용 증가와 개인정보 보호 문제와 같은 몇 가지 과제에 직면해 있습니다. 실시간 OCSP 확인은 요청이 암호화되지 않은 HTTP를 통해 전송되고 특정 인증서와 연결되기 때문에 사용자의 비공개 브라우징 데이터를 침해할 수 있습니다. 이는 브라우저와 OCSP 응답자 사이의 트래픽을 가로채는 누구도 사용자가 방문한 사이트를 알게 된다는 뜻입니다. 또한 신원 확인을 위해 제3자를 거쳐야 하는 경우 브라우징 경험이 약간 느려질 수 있습니다.

OCSP 바인딩 기술은 이러한 문제를 해결하는 데 꼭 필요한 것이었습니다. 이 기술은 기존 OCSP 응답이 HTTPS 연결에 포함될 수 있게 하며, 개인정보 보호(브라우저가 별도의 요청을 보내야 하는 횟수 감소)와 시간 절약(서버와 브라우저 간 데이터 전송 감소)을 제공합니다.

CRL 대비 OCSP의 장점

OCSP는 인증서 검증 프로세스에서 CRL에 비해 몇 가지 뚜렷한 장점이 있습니다:

실시간 확인: OCSP는 인증서 상태를 즉시 검증할 수 있어 폐기된 인증서를 빠르게 차단하는 반면, CRL은 주기적인 업데이트가 필요하므로 폐기 정보의 전파가 지연될 수 있습니다.

유연한 아키텍처: OCSP는 대량의 트래픽에 대응하기 위해 독립적으로 확장할 수 있으며, 인증 기관(CA)도 요청 처리를 타사 응답자에게 위임하여 효율성을 높일 수 있습니다.

경량 작업: OCSP 요청은 매우 작아, 더 높은 대역폭 요구 사항으로 인해 폐지된 인증서의 긴 목록을 다운로드해야 하는 CRL에 비해 네트워크 부담을 줄입니다.

상세 진단: OCSP 응답자는 인증서 상태와 폐기 사유에 대한 구체적인 정보를 제공할 수 있으며, 단순한 '양호' 또는 '폐기됨'만 제공하는 것이 아닙니다.

고정 갱신 주기 없음: OCSP는 고정 갱신을 기다릴 필요 없이 지속적인 요청을 허용하므로 인증서 상태 변경에 더 빠르게 대응할 수 있습니다.

이러한 장점으로 인해 최신의 효율적인 인증서 검증이 필요한 환경에서 OCSP가 선호되는 솔루션이 됩니다.