리프 인증서

리프 인증서는 공개 키를 호스트 이름에 결속하고 중간 인증서의 서명을 받습니다. 최대 유효 기간은 계속 줄어들고 있습니다. 상한은 825일에서 2020년 9월 1일에 398일로 내려갔고, 2025년 CA/Browser Forum 투표로 2029년 3월까지 47일로 단계적으로 낮아집니다. 자물쇠는 도메인이 일치했다는 것만 알려 주는데, 사기꾼의 유사 도메인도 바로 그것을 달성합니다.

작동 방식

리프 인증서는 인증서 체인의 맨 아래에 있으며 다른 어떤 것도 서명할 수 없습니다. basicConstraints 확장은 CA를 false로 설정하는데, 그 플래그가 리프 인증서와 그 위의 모든 인증서를 가르는 기계적 차이입니다. 리프 인증서가 포함하는 호스트 이름은 subjectAltName 확장에 들어 있습니다. 오래된 common name 필드는 현재 클라이언트가 무시하므로, subjectAltName에 호스트 이름이 빠진 인증서는 common name이 완벽하게 일치해도 실패합니다.

인증서를 발급받는다는 것이 대부분 사람이 생각하는 것보다 적은 것을 증명합니다. 가장 저렴하고 압도적으로 흔한 수준인 도메인 검증은 신청한 사람이 도메인의 URL에 토큰을 놓거나 그 아래에 DNS 레코드를 게시할 수 있는지만 확인합니다. ACME 프로토콜에서는 그 확인이 몇 초 만에 끝나고 비용이 들지 않습니다. 조직 검증과 확장 검증은 법인에 관한 서류를 더하지만, 브라우저는 그 노력을 더 이상 보상하지 않기로 했습니다. Chrome 77과 Firefox 70 모두 2019년 가을에 주소 표시줄에서 회사 이름을 없앴으므로, 이제 방문자는 어느 경우든 같은 자물쇠를 봅니다.

도움이 되는 변화는 두 가지입니다. 공개적으로 신뢰받는 모든 리프 인증서는 Certificate Transparency 로그에 기록되어야 하며, Chrome은 2018년 4월 30일부터 기록 증명이 없는 인증서를 거부해 왔습니다. 따라서 누구든 그 공개 로그에서 자신이 소유한 도메인에 대해 발급된 인증서를 검색하고 아무도 주문하지 않은 인증서를 발견할 수 있습니다. 유효 기간 압축도 도움이 되는데, 이유는 단순합니다. 탈취된 키는 인증서가 만료될 때까지만 쓸모가 있기 때문에, 업계는 200일, 그다음 100일, 그다음 47일로 낮추는 일정을 받아들였습니다.

확인할 수 있는 곳

리프 인증서는 거래소에 로그인할 때마다 여러분이 접하게 됩니다. 브라우저가 호스트 이름과 대조하는 것이 바로 리프 인증서이며, 인증서 체인에서 눈앞의 특정 사이트에 대해 무언가를 말해 주는 유일한 고리입니다.

비트코인을 구매하는 사람에게 이 용어가 쓸모를 갖는 지점이 여기입니다. 오타를 노린 유사 도메인의 피싱 페이지도 완벽하게 유효한 리프 인증서를 갖추고 있으며, 자동으로 무료로 발급되고 옆에 진짜 자물쇠가 붙습니다. 인증서는 여러분의 연결이 주소 표시줄에 표시된 도메인에 실제로 도달한다는 것을 확인합니다. 그 도메인이 페이지에 로고가 걸린 회사의 소유라는 주장은 하지 않습니다. 호스트 이름을 글자 하나하나 읽으면서 첫 번째 단일 슬래시 바로 앞부분에 주의하고, 자물쇠를 정직성이 아니라 배선에 관한 진술로 취급하십시오.

BIP70 안에서 리프 인증서는 다른 그릇에 담겨 같은 일을 했습니다. 인증서 목록에서 맨 앞에 있었고, 결제 요청의 서명은 그 개인 키로 생성되었습니다.

리프 인증서 vs 중간 인증서

리프 인증서는 체인을 끝내고, 중간 인증서는 체인을 이어 갑니다. 둘 중 하나만 추가 인증서에 서명할 수 있으며, 리프 인증서가 서명하도록 허용한 클라이언트는 누구든 내미는 무엇이든 받아들일 것입니다. 이 구분은 개인 키가 어디에 있는지도 결정합니다. 중간 인증서의 키는 인증기관의 하드웨어 모듈 안에 머물며 수명 동안 수천 개의 인증서에 서명합니다. 리프 인증서의 키는 그것이 식별하는 서버에 있고, 그 서버가 노출된 모든 것에 노출되며, 인증서가 교체될 때마다 새로 바뀝니다.