Certificate Transparency Monitoring 정식 출시

Cloudflare가 2019년 퍼블릭 베타로 시작한 Certificate Transparency(CT) Monitoring을 정식 출시했다. 핵심 개선점은 Cloudflare가 자체 발급한 인증서에 대한 알림을 자동으로 필터링해 노이즈를 없애는 것으로, "정상 갱신 알림에 지쳐 결국 읽지 않게 됐다"는 고객 피드백이 개선의 출발점이었다.

핵심 포인트

Cloudflare가 발급·관리하는 인증서(Universal SSL, ACM, Total TLS, Backup Certificates)는 알림 대상에서 제외하고, 외부 CA가 발급한 인증서에만 알림을 전송한다.
CA/Browser Forum이 2029년까지 최대 인증서 유효기간을 47일로 단축할 예정이라, 기존 방식 유지 시 빈도 문제가 더 심화될 상황이었다.
두 독립 시스템(인증서 관리 시스템 + CT 알림 서비스) 연결 식별자로 spki_sha256(DER 인코딩 SubjectPublicKeyInfo의 SHA-256 해시)을 선택했다.
발급 실패로 남은 pre-certificate도 내부 기록과 매칭해 알림을 억제한다.
모든 플랜에서 추가 비용 없이 이용 가능, 기존 사용자는 자동으로 필터링이 적용된다.

상세 정리

문제 배경: Universal SSL은 최대 60일마다 갱신돼 연 6회 알림이 발생하는데, 650,000개 이상의 고객 도메인에서 정상 갱신 알림이 실제 이상 발급 알림을 묻히게 했다.
핵심 과제: 인증서 관리 시스템과 CT 알림 서비스가 독립적으로 운영돼 두 시스템을 연결할 일관된 공통 식별자 발굴이 필요했다.
spki_sha256 선택 기준: 키 생성 시점부터 존재(Early), CSR~최종 인증서까지 불변(Consistent), 알림 서비스가 독립적으로 재계산 가능(Reproducible), 매 발급마다 새 키쌍으로 고유성 보장(Unique) — 4가지 요건을 동시에 만족하는 유일한 식별자다.
동작 방식: 발급 오더링 서비스가 키 생성 시 spki_sha256을 기록, CT 알림 서비스가 공개 CT 로그 수신 시 이 값을 재계산해 DB 매칭 여부로 알림 발송 여부를 결정한다.
Abandoned pre-certificate 처리: 발급 실패로 CT 로그에는 올라갔지만 최종 인증서가 없는 경우도 내부 기록과 매칭해 알림 억제.
알림 품질 개선: 이메일 제목에 영향받는 호스트명 포함, 본문에 인증서 세부사항, Cloudflare 대시보드 직접 링크 추가.
접근: 대시보드 SSL/TLS → Edge Certificates → Certificate Transparency Monitoring에서 활성화 가능.
향후 계획: Cloudflare Notifications에 통합해 웹훅, PagerDuty, 추가 이메일 목적지로 알림 라우팅 지원 예정.

왜 읽나Cloudflare로 TLS 인증서를 관리하는 보안·인프라 담당자라면, 실제 무단 발급만 감지하도록 CT 모니터링 노이즈를 줄이는 방법과 시스템 아키텍처 접근법을 이해하는 데 유용하다.

Cloudflare Blog 블로그

원문은 여기서 이어서 읽을 수 있어요

원문 읽기

읽음 (0)

·takedown 요청

Certificate Transparency Monitoring 정식 출시

이 글과 비슷한

Serena MCP 에이전트의 치명적 원격 코드 실행 취약점 분석

Node.js로 TOTP 기반 패스워드리스 인증 구현하기

Cloudflare의 MCP 트래픽 감지 및 보안 방법