오리진 서버 포스트 퀀텀 인증 지원 — ML-DSA mTLS 구현기

Cloudflare가 오리진 서버와의 TLS 연결에 포스트 퀀텀 인증(ML-DSA)을 도입했다. 2023년 이미 포스트 퀀텀 암호화(encryption)가 배포됐지만, 인증(authentication)은 여전히 양자 공격에 취약한 상태였다. Authenticated Origin Pulls(AOP)와 Custom Origin Trust Store(COTS) 두 제품을 통해 완전한 상호 인증 TLS를 구현했으며, FIPS 204(ML-DSA) 표준을 오리진 연결에 적용한 첫 번째 마일스톤이다.

핵심 포인트

Cloudflare-to-Origin 연결에 ML-DSA(FIPS 204) 인증을 적용해 양자 내성 mTLS를 구현했다.
FIPS 204 파라미터 세트 3종(ML-DSA-44/65/87) 중 ML-DSA-44가 성능과 보안의 균형으로 기본값이다.
Go 표준 라이브러리에 ML-DSA 미지원으로 CIRCL 라이브러리를 직접 구현했으며, Go 1.27(2026년 8월)에서 네이티브 지원 예정이다.
Pingora 오리진 서비스의 BoringSSL 포크를 4년 만에 동기화하다 KeyUsage 변경으로 2026-06-10 인시던트가 발생했다.
다운그레이드 공격 방지를 위해 클래식 인증 메커니즘을 완전히 제거해야 한다 — 하나라도 남으면 여전히 취약하다.

상세 정리

배경: 2023년 포스트 퀀텀 암호화(encryption)는 배포됐으나 인증(authentication)은 양자 공격에 취약한 상태로 남아 있었다. 최근 양자 컴퓨팅 타임라인이 단축되면서 인증 강화가 급선무가 됐다.
아키텍처: Cloudflare는 방문자→Cloudflare와 Cloudflare→오리진 두 연결을 별도 관리한다. 오리진 연결은 사전 신뢰 관계 덕분에 공개 PKI 제약을 우회하고 커넥션 풀링으로 서명 오버헤드를 분산할 수 있다.
제어면 구현: SSL/TLS 설정 서비스에 ML-DSA 인증서 파싱/검증을 추가했다. Go 표준 라이브러리가 ML-DSA를 미지원해 CIRCL 라이브러리를 활용했으며, Go 1.27(2026-08 예정) 이후 의존성이 제거된다.
데이터면 구현: 초당 수백만 요청을 처리하는 Pingora 오리진 서비스의 BoringSSL 포크를 4년 만에 업스트림과 동기화했다.
인시던트: BoringSSL 업그레이드가 KeyUsage 적용 방식을 변경하면서 2026-06-10 장애가 발생했다. 기존 고객 RSA 인증서 중 기술적으로 유효하지 않은 KeyUsage 확장이 있었고, 임시 하위 호환 조치로 복구했다.
파라미터 세트: FIPS 204 파라미터 3종 — ML-DSA-44(기본값, NIST 카테고리 2, 성능 최적), ML-DSA-65, ML-DSA-87(최고 보안) — 을 모두 지원한다.
COTS: 고객이 기본 CA 신뢰 저장소를 ML-DSA CA로 교체할 수 있다. Full(strict) SSL 모드에서만 활성화된다.
AOP: Cloudflare가 오리진과 mTLS 시 ML-DSA 클라이언트 인증서를 제시한다. 존/호스트네임 레벨 설정을 지원하며, 전역 설정은 추후 지원 예정이다.
설정 절차: OpenSSL 3.5.0+로 ML-DSA-44 CA/인증서 생성 → COTS/AOP API 엔드포인트에 등록 → NGINX에서 서버/클라이언트 인증서 설정 → OpenSSL로 X25519MLKEM768 그룹 협상 여부 검증.
보안 함정: 클래식 인증 메커니즘을 하나라도 남겨두면 on-path 공격자가 다운그레이드를 유도해 인증을 우회할 수 있다. 포스트 퀀텀으로 완전 전환해야만 의미가 있다.
로드맵: 이번 오리진 인증은 2029년 완전 포스트 퀀텀 목표의 첫 번째 마일스톤이다. 방문자→Cloudflare 인증은 Merkle Tree Certificates(2027년 목표)로 IETF에서 병행 개발 중이다.