인증서 유효기간 13개월→90일로 단축 주장 이어지면서 PKI·CLM 솔루션 주목
키팩터, PKI 구축 솔루션 ‘EJBCA’와 CLM 솔루션 ‘Command’로 한국 시장 진출

[보안뉴스 박은주 기자] 구글은 2023년 CA/B(Certificate Authority & Browser) 포럼에서 PKI(공개키 기반 구조, Public Key Infrastructure)를 기반으로 하는 SSL/TLS 인증서 유효기간을 90일로 줄이자고 공식적으로 제안했다. 기존 13개월이던 유효기간을 300일가량 대폭 축소하자는 주장이다. 애플 등 대형 기술 기업도 이에 동의하며 인증서 유효기간을 줄이자는 목소리가 높아지고 있다.


▲(맨 오른쪽) 키팩터 조던 라키 CEO[사진=보안뉴스]

유효기간 단축의 주된 이유는 ‘보안’ 때문이다. 만일 인증서가 손상 혹은 도난당할 시 해당 인증서를 사용하는 웹사이트나 서비스는 위협에 그대로 노출된다. 이때 인증서 유효기간이 길수록 해킹 등 각종 보안 위협을 통해 키를 탈취당할 수 있는 가능성이 커진다. 따라서 인증서 기간 단축은 손상된 인증서 사용 기간을 줄여 공격 피해를 최소화할 수 있는 방법으 꼽힌다.

다만, 13개월이던 유효기간이 90일로 줄이면 인증서 갱신 주기가 약 4.3배 빨라지게 된다. 즉 관리 업무가 더 복잡해지고 손이 많이 가게 되는 것이다. 이에 따라 기업은 인증서 갱신 자동화 시스템 도입에 대한 필요성을 느끼고 있다.

이러한 가운데 글로벌 PKI 전문기업 키팩터(Keyfactor)가 △PKI 구축 솔루션 ‘Keyfactor EJBCA’와 △인증서 자동화 관리(CLM) 솔루션 ‘Keyfactor Command’를 앞세워 국내 보안시장에 출사표를 던졌다.

키팩터의 PKI 구축 솔루션 ‘EJBCA’와 CLM 솔루션 ‘Command’는 마이크로소프트, 애플, 테슬라, 비자 등 세계적인 기업을 비롯해 미국, 유럽, 아시아태평양 지역의 △기술 △산업 및 에너지 △소매업 △금융 서비스 △운송 △정부 및 교육 분야 등에서 광범위하게 사용되고 있다.


▲PKI 구축 솔루션 ‘EJBCA’와 CLM 솔루션 ‘Command’ 활용분야[자료=키팩터]

키팩터 조던 라키(Jordan Rackie) CEO는 “키팩터는 전 세계적으로 폭발적인 증가세를 보이는 IoT 기기의 아이덴티티를 안정적으로 처리할 수 있는 역량을 갖추고 있다”며 “키팩터 솔루션이 제공하는 확장성과 기업이 요구하는 방식으로 솔루션을 제공할 수 있는 유연성이 세계적 기업에서 키팩터를 선택한 이유”라고 설명했다.

EJBCA는 1,000개 이상 기업·기관에서 공개·사설 PKI를 발급·운영하는 데 사용되는 PKI 구축 솔루션이다. 일례로 애플의 아이폰, 아이패드, 에어팟에 필요한 인증서도 제공하고 있다. 사설 인증기관(CA), 인증서 수량에 제약 없이 PKI를 구축할 수 있고, REST, 웹서버 API 및 다양한 종류의 API 지원을 통해 타 시스템과 유연하게 연동된다는 특징을 가진다. 이 밖에도 △올인원 PKI 솔루션 △IoT, eIDAS, Enterprise PKI 등 Use Case 지원 △CC EAL 4+ 인증 △다양한 구축 방식 지원 △최신 PKI 표준 지원 등의 기능을 지원한다. 소프트웨어·하드웨어·클라우드·SaaS·Managed 형태로 고객 필요에 따라 원하는 제품과 서비스를 선택할 수 있게 제공한다.

조던 라키 CEO는 “스마트홈, 스마트시티, 모빌티티 등 수많은 IoT 기기마다 인증서를 발급하고 관리해야 하는 현대에 적합한 PKI 솔루션”이라고 설명하며 “EJBCA는 이미 낙후된 네트워크 환경에서 발생하는 인증 역시 커버할 수 있는 확장성을 자랑하고, 이것이 키팩터만의 차별성”이라고 설명했다. 한국에서는 EJBCA Community의 경우 상용화 버전인 엔터프라이즈 형태로 제공될 예정이다. 오픈소스로 운영되는 커뮤니티를 통해 개발자가 자유롭게 솔루션을 테스트해 볼 기회를 제공한다.


▲Keyfactor Command 구성도[이미지=키팩터]

Commsnds는 인증서 발급 및 배포에 이르는 인증서 생명 주기 전 과정을 자동화하는 솔루션이다. 중앙에서 인증서 관리 정책에 따라 통합된 콘솔을 통해 관리할 수 있게 돕는다. PKI 서비스를 제공하는 공개·클라우드·CA와 연동을 지원한다. 이 밖에도 △인증서 만료 기간 자동 알림 △스캐너를 통한 인증서 디스커버리 △인증서 관련 표준 프로토콜 및 Rest API 지원 등의 기능을 제공한다. 관리하는 인증서 수량에 제약이 없고, 간단한 설치로 사용자 편의를 제공하고 있다. 미국 공인회계사협회(AICPA)에서 발급하는 보안 인증 ‘SOC 2 TypeⅡ’와, 기업 정보보호 관리체계 국제표준 ‘ISO27001’ 인증을 통해 안전 및 신뢰를 유지하고 있다.

조던 라키 CEO는 90일로 단축되는 인증서 관리 기간에 대해 “보안을 위해서 90일보다 짧은 주기로 인증서 갱신을 요구하는 고객도 있다”고 예를 들며 “다만, 인증서 관리 주기가 짧아지다 보니 컴플라이언스 준수, 인력, 기술, 예산을 더욱 요구하게 되는 등 피로감이 누적되거나 리스크로 다가올 수 있다”고 우려했다. 그는 “따라서 자동으로 인증서를 관리하는 솔루션인 CLM이 주목받고 있다”고 설명했다.

자동화 시스템을 통해 인증서 발급-갱신-폐기까지 관리해 복잡성을 해소할 수 있다. 또한, 인증서 갱신 과정에서 발생하는 인적 오류를 줄이고, 인증서 관리 미흡으로 발생하는 각종 사고를 예방할 수 있다.

키팩터 솔루션을 사용한 고객에 따르면 “CLM을 먼저 접하면서 PKI를 같이 사용하고 싶다고 생각했다”고 전했다. 매년 제품 재구매율이 95%에 달한다는 키팩터의 설명이 있었다. 키팩터는 2019년 기준 매출 700만 달러에서 2024년 11.2억 달러(약 1조 4,906억)로 폭발적인 상승세를 보였다. 2024년 기준 매출 비율이 미국 64%, 유럽 32%, 아시아태평양 지역이 4%를 차지했다. 조던 라키 CEO는 “2026년 영업이익이 2.5억달러로 예상하고, 이때 아태지역에서 12% 정도의 매출이 발생하기를 기대한다”고 말했다.

키팩터는 한국 파트너사와의 협력을 통해 한국 시장에 진출하겠다는 전략이다. 조던 라키 CEO는 “진네트웍스(JINNETWORKS) 등 한국에 기반을 둔 파트너사와 역할을 분담해 시장을 공략하겠다”며 “키팩터가 뛰어난 기술을 바탕으로 기술을 제공한다면, 협력사는 고객을 관리하는 방식으로 역할을 분담할 것”이라고 설명했다.

한편 양자 컴퓨터의 발전으로 현재 공개키 기반 암호화 기술의 근간이 흔들릴 수 있다는 우려가 이어진다. 이에 키팩터는 NIST PQC(양자내성암호) 후보 알고리즘과 하이브리드 인증서 도입을 통해 다가오는 양자시대를 대비했다고 밝혔다.

키팩터 조던 라키 CEO는 “아직 키팩터가 한국시장에서 활동하지 않았을 뿐, 성능으로는 경쟁사보다 앞선다”며 “시간이 걸릴 순 있지만 한국에서 입지를 굳히기까지 긴 시간이 걸리지 않을 것”이라며 키팩터 기술과 Commsnds, EJBCA 솔루션에 대한 자신감을 드러냈다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>