distrust가 불필요한 CA 인증서를 차단하는 Go 도구를 내놨다

Go 명령줄 도구 distrust는 정책으로 불필요한 인증 기관(CA)을 차단합니다. 여러 루트 인증서 저장소도 관리합니다. 제작자는 eMudhra CA 사건을 계기로 시스템이 필요 이상으로 많은 루트 서명 기관을 신뢰한다고 보고 이 도구를 만들었습니다. 저는 사고가 난 인증서 하나를 치우는 데서 멈추지 않고, 신뢰하는 기관 자체를 줄이려는 발상이 눈에 들어왔습니다.

eMudhra 중간 인증기관 키 침해 뒤 신뢰 인증서 목록을 갱신해야 한다는 소식과 이어집니다. 사건에 맞춰 목록을 손보는 대응과 달리, distrust는 평소 신뢰하는 인증 기관의 범위를 줄이려는 시도입니다.

제작자는 운영체제와 배포판, 프로그래밍 언어마다 루트 저장소를 다루는 방식이 달라 기존 도구를 찾기 어려웠다고 설명했습니다. 대상은 브라우저의 NSS와 Chrome Root Store입니다. curl·wget·Python·Go에서 쓰는 OpenSSL/GnuTLS와 Java도 다룹니다. certifi·conda·botocore에 들어 있는 PEM 묶음도 대상입니다. 저장소가 갈라져 생기던 빈틈을 한 도구에서 다룰 수 있다는 점은 반갑습니다.

기본 예시는 상위 30개만 남기고 그 밖의 CA를 차단합니다. 제작자가 문제가 없어 보였다고 한 범위는 자신의 일반적인 웹 탐색과 사용입니다. 업무망이나 자주 쓰는 앱이 상위 30개 밖의 CA에 의존하면 연결이 끊길 수 있습니다. 앱이 자체 PEM 묶음을 쓴다면 시스템 저장소와 별도로 그 묶음에도 정책이 적용되는지 확인해야 합니다.

평소 쓰는 사이트와 업무 앱, 개발 도구를 추려 테스트 환경에서 상위 30개 정책을 적용해 보십시오. 연결이 끊기는 대상이 있으면 해당 앱이 시스템 저장소와 자체 PEM 묶음 중 무엇을 쓰는지 확인해 보십시오.

사이트나 앱의 인증서 신뢰 문제를 점검할 때, 평소 어떤 목록부터 확인하십니까?