확장 유효성 검사 인증서

확장 유효성 검사(EV) 인증서(Extended Validation Certificate)는 소유자의 법인을 증명하고 EV 인증서를 발급할 수 있는 인증 기관 키로 서명된 X.509를 따르는 인증서이다. EV 인증서는 HTTPS를 사용하여 웹 통신을 보호하고 소프트웨어 및 문서에 서명하는 것을 포함하여 다른 모든 X.509 인증서와 동일한 방식으로 사용할 수 있다. 도메인 유효성 검사 인증서 및 조직 유효성 검사 인증서와 달리, EV 인증서는 인증 기관(CA)의 일부만이 발급할 수 있으며 인증서 발급 전에 요청하는 주체의 법적 신원 확인이 필요하다.

2021년 2월 현재, 모든 주요 웹 브라우저(구글 크롬, 모질라 파이어폭스, 마이크로소프트 엣지 및 사파리)에는 인증서의 EV 상태와 EV 인증서의 확인된 법적 신원을 보여주는 메뉴가 있다. 모바일 브라우저는 일반적으로 EV 인증서를 도메인 유효성 검사(DV) 및 조직 유효성 검사(OV) 인증서와 동일한 방식으로 표시한다. 온라인에서 가장 인기 있는 웹사이트 10개 중 어느 곳도 EV 인증서를 사용하지 않으며 그 사용 추세는 감소하고 있다.

소프트웨어의 경우, 확인된 법적 신원은 설치를 진행하기 전에 운영체제(예: 마이크로소프트 윈도우)에 의해 사용자에게 표시된다.

확장 유효성 검사 인증서는 지정된 파일 형식으로 저장되며 일반적으로 조직 유효성 검사 인증서 및 도메인 유효성 검사 인증서와 동일한 암호화를 사용하므로 대부분의 서버 및 사용자 에이전트 소프트웨어와 호환된다.

EV 인증서 발급 기준은 CA/브라우저 포럼에서 제정한 확장 유효성 검사 가이드라인에 정의되어 있다.

확장 유효성 검사 인증서를 발급하려면 CA는 요청하는 주체의 신원 확인과 도메인 이름 및 호스팅 서버에 대한 제어 권한을 포함한 운영 상태를 확인해야 한다.

 역사 

 CA/브라우저 포럼에 의한 도입 
2005년, 코모도 그룹(현재 Xcitium으로 알려짐)의 CEO인 멜리 압둘하욜루는 SSL/TLS 인증서 발급 표준을 개선하기 위해 CA/브라우저 포럼이 된 조직의 첫 회의를 소집했다. 2007년 6월 12일, CA/브라우저 포럼은 즉시 발효되는 확장 유효성 검사(EV) SSL 가이드라인의 첫 번째 버전을 공식적으로 비준했다. 공식 승인으로 2년 이상의 노력이 성공적으로 마무리되었으며, 인터넷에서 신뢰할 수 있는 웹사이트 신원 확인을 위한 인프라가 제공되었다. 그리고 2008년 4월, 포럼은 첫 번째 버전이 사용 승인된 이후 몇 달 동안 회원 CA 및 의존 당사자 응용 소프트웨어 공급업체로부터 얻은 실무 경험을 바탕으로 가이드라인 버전 1.1을 발표했다.

 브라우저의 특수 UI 지표 생성 
대부분의 주요 브라우저는 표준 생성 직후 EV 인증서로 보호되는 HTTPS를 통해 로드된 페이지에 대한 특수 사용자 인터페이스 지표를 생성했다. 여기에는 구글 크롬 1.0, 인터넷 익스플로러 7.0, 모질라 파이어폭스 3, 사파리 3.2, 오페라 9.5가 포함된다. 또한 iOS용 사파리, 윈도우 폰, 안드로이드용 파이어폭스, 안드로이드용 크롬, iOS를 포함한 일부 모바일 브라우저도 이러한 UI 지표를 추가했다. 일반적으로 EV를 지원하는 브라우저는 EV 인증서의 '주체' 필드에 포함된 유효성이 검증된 신원(일반적으로 조직 이름과 관할권의 조합)을 표시한다.

대부분의 구현에서 향상된 표시는 다음을 포함한다.

 인증서 소유 회사 또는 법인의 이름
 웹사이트의 보안 상태에 따라 색상이 달라지는 주소 표시줄의 잠금 기호

잠금 기호를 클릭하면 사용자는 EV 인증서를 발급한 인증 기관의 이름을 포함하여 인증서에 대한 더 많은 정보를 얻을 수 있다.

 특수 UI 지표 제거 
2018년 5월, 구글은 EV 인증서 강조를 제거하기 위해 구글 크롬의 사용자 인터페이스를 재설계할 계획을 발표했다. 2019년에 출시된 크롬 77은 옴니박스에서 EV 인증서 표시를 제거했지만, 잠금 아이콘을 클릭한 다음 "issued to" 아래에 나열된 법인 이름을 확인하여 EV 인증서 상태를 볼 수 있다. 파이어폭스 70은 옴니박스 또는 URL 표시줄에서 차이점(EV 및 DV 인증서는 잠금 아이콘만으로 유사하게 표시됨)을 제거했지만, 잠금 아이콘을 클릭하면 열리는 더 자세한 보기에서 인증서 EV 상태에 대한 세부 정보를 확인할 수 있다.

IOS 12 및 MacOS 모하비(2018년 9월 출시)의 사파리는 EV 상태의 시각적 구분을 제거했다.

 발급 기준 
독립적인 자격 감사 검토를 통과한 CA만이 EV를 제공할 수 있으며, 전 세계 모든 CA는 다음을 목표로 하는 동일한 상세 발급 요구 사항을 따라야 한다.

 웹사이트 소유자의 법적 신원 및 운영 및 물리적 존재를 확립
 신청자가 도메인 이름 소유자이거나 도메인 이름에 대한 독점적인 통제권을 가지고 있음을 확립
 웹사이트 소유자를 대신하여 행동하는 개인의 신원 및 권한을 확인하고, 법적 의무에 관한 문서가 권한 있는 임원에 의해 서명되었음을 확인
 인증서 정보가 최신 상태인지 확인하기 위해 인증서 유효 기간을 제한. CA/B 포럼은 또한 2020년 3월부터 도메인 유효성 검사 데이터 및 조직 데이터의 최대 재사용 기간을 397일(398일 초과 금지)로 제한한다.

.onion 도메인용 확장 유효성 검사 인증서를 제외하고는 와일드카드 확장 유효성 검사 인증서를 얻는 것은 불가능하다. 대신, 모든 완전 한정 도메인 이름이 인증서에 포함되어야 하며 인증 기관에 의해 검사되어야 한다.

 확장 유효성 검사 인증서 식별 
EV 인증서는 표준 X.509 디지털 인증서이다. EV 인증서를 식별하는 주된 방법은 인증서 정책(CP) 확장 필드를 참조하는 것이다. 각 EV 인증서의 CP 객체 식별자(OID) 필드는 EV 인증서를 식별한다. CA/브라우저 포럼의 EV OID는 2.23.140.1.1이다. 다른 EV OID는 발급자의 인증 관행 설명서에 문서화될 수 있다. 일반적으로 루트 인증 기관과 마찬가지로 브라우저는 모든 발급자를 인식하지 못할 수 있다.

EV HTTPS 인증서는 jurisdictionOfIncorporationCountryName(OID: 1.3.6.1.4.1.311.60.2.1.3), jurisdictionOfIncorporationStateOrProvinceName(OID: 1.3.6.1.4.1.311.60.2.1.2)(선택 사항),jurisdictionLocalityName(OID: 1.3.6.1.4.1.311.60.2.1.1)(선택 사항), businessCategory(OID: 2.5.4.15) 및 serialNumber(OID: 2.5.4.5)에 대한 X.509 OID를 포함하는 주체를 포함하며, serialNumber는 관련 주(미국) 또는 정부 사업자 등록 기관(미국 외)의 ID를 가리킨다.

 온라인 인증서 상태 프로토콜 

확장 유효성 검사 인증서 발급 기준은 인증서 폐기 확인을 위해 온라인 인증서 상태 프로토콜을 즉시 지원하도록 발급 인증 기관에 요구하지 않는다. 그러나 브라우저에 의한 폐기 확인에 대한 적시 응답 요구 사항은 이전에 그렇게 하지 않았던 대부분의 인증 기관이 OCSP 지원을 구현하도록 촉진했다. 발급 기준의 섹션 26-A는 2010년 12월 31일 이후 발급된 모든 인증서에 대해 CA가 OCSP 확인을 지원하도록 요구한다.

 비판 

 충돌하는 개체 이름 
법인명은 고유하지 않으므로, 개체를 사칭하려는 공격자는 동일한 이름(예: 다른 주 또는 국가에서)으로 다른 사업체를 설립하고 해당 사업체에 대한 유효한 인증서를 얻은 다음, 해당 인증서를 사용하여 원래 사이트를 사칭할 수 있다. 한 시연에서 한 연구원은 켄터키주에 "Stripe, Inc."라는 사업체를 설립하고 브라우저가 델라웨어주에 설립된 결제 처리업체 "Stripe, Inc."의 인증서와 유사하게 표시함을 보여주었다. 연구원은 시연 설정에 약 1시간의 시간, 100달러의 법적 비용, 77달러의 인증서 비용이 들었다고 주장했다. 또한 그는 "충분한 마우스 클릭으로 [사용자는] [개체가 설립된] 도시와 주를 [볼 수] 있지만, 이들 중 어느 것도 일반 사용자에게는 도움이 되지 않으며, 그들은 아마도 [EV 인증서] 표시를 맹목적으로 신뢰할 것"이라고 언급했다.

 소규모 기업에 대한 가용성 
EV 인증서가 신뢰할 수 있는 웹사이트의 표식으로 홍보되고 보고되고 있기 때문에 일부 소규모 기업 소유주들은 EV 인증서가 대기업에 부당한 이점을 제공한다고 우려를 표명했다. EV 가이드라인의 공개 초안은 법인화되지 않은 사업체를 배제했으며, 초기 언론 보도는 이 문제에 중점을 두었다. EV 가이드라인 버전 1.0은 인정된 기관에 등록되어 있는 한 법인화되지 않은 협회를 포괄하도록 개정되어 확장 유효성 검사 인증서를 받을 자격이 있는 조직의 수가 크게 늘어났다.

 IE7 보안 UI를 통한 피싱 공격에 대한 효과 
2006년 스탠퍼드 대학교와 마이크로소프트 리서치의 연구원들은 인터넷 익스플로러 7의 EV 표시에 대한 사용성 연구를 수행했다. 그들의 논문은 "브라우저 보안 기능에 대한 교육을 받지 않은 참가자들은 확장 유효성 검사 표시를 알아차리지 못했으며 통제 그룹보다 나은 성과를 보이지 않았다"고 결론지었다. 반면 "인터넷 익스플로러 도움말 파일을 읽도록 요청받은 참가자들은 실제 사이트와 가짜 사이트 모두를 합법적인 것으로 분류할 가능성이 더 높았다."

 도메인 유효성 검사 인증서는 처음부터 CA에 의해 생성되었다 

EV 인증서 지지자들은 피싱 공격에 도움이 된다고 주장하지만, 보안 전문가 피터 구트만은 새로운 유형의 인증서가 업계에서 발생한 바닥으로의 경쟁으로 인해 침식된 CA의 이익을 회복시킨다고 말한다. 피터 구트만에 따르면, EV 인증서는 "피싱 공격자가 악용하는 어떤 문제도 해결하지 못하기" 때문에 피싱에 효과적이지 않다. 그는 대규모 상업 CA가 옛날 높은 가격을 되찾기 위해 EV 인증서를 도입했다고 주장한다.

 같이 보기 
 자격 있는 웹사이트 인증 인증서
 HTTP 스트릭트 트랜스포트 시큐리티

 각주 

 외부 링크 
 CA/브라우저 포럼 웹사이트
 EV 인증서를 위한 파이어폭스 녹색 자물쇠

분류:키 관리
분류:2007년 도입
분류:전자 상거래
분류:전송 계층 보안
분류:공개 키 기반 구조