인도에 상장된 디지털 트러스트 기업 eMudhra(BSE: 543533, NSE: EMUDHRA)가 글로벌 SSL/TLS 인증서 사업에서 자발적으로 철수하기로 했다고 밝혔다. 회사 측 발표에 따르면 이번 결정은 이사회 차원에서 내려진 것으로, 전 세계를 대상으로 제공하던 SSL/TLS 서버 인증서 발급 사업을 접겠다는 내용이다. 공개된 자료만으로는 철수의 구체적 배경이나 일정, 영향을 받는 제품의 범위가 상세히 드러나 있지 않지만, 공인 인증기관(CA) 생태계의 구조를 이해하면 이 결정이 왜 주목할 만한지 가늠할 수 있다.
SSL/TLS 인증서 사업이란 무엇인가
SSL/TLS 인증서는 웹사이트와 사용자 브라우저 사이의 통신을 암호화하고, 접속한 도메인이 실제로 그 소유자의 것임을 증명하는 디지털 증명서다. 이 인증서를 발급하는 주체가 바로 공인 인증기관이며, eMudhra 역시 그런 CA 사업자 중 하나로 글로벌 시장에 참여해 왔다. CA가 발급한 인증서가 실제로 효력을 가지려면 운영체제와 브라우저가 내장한 '신뢰 저장소(trust store)'에 해당 CA의 루트 인증서가 포함되어 있어야 한다. 즉 CA 사업의 핵심 자산은 기술 자체가 아니라, 마이크로소프트·애플·구글·모질라 같은 트러스트 스토어 운영 주체로부터 받는 신뢰다.
이 신뢰를 유지하는 비용은 결코 작지 않다. CA/Browser Forum이 정한 기준선 요구사항(Baseline Requirements)과 각 브라우저 벤더의 개별 정책을 지속적으로 준수해야 하고, 정기적인 외부 감사(WebTrust 등)를 통과해야 하며, 발급·폐기 로그를 공개하는 인증서 투명성(Certificate Transparency) 체계에도 대응해야 한다. 규정 위반이나 오발급이 반복되면 트러스트 스토어에서 루트가 제거되는데, 이 경우 해당 CA가 발급한 모든 인증서가 사실상 무력화된다. 운영 부담은 계속 커지는 반면 서버 인증서 가격은 바닥을 치고 있어, 사업성을 재검토하는 CA가 적지 않은 것이 업계의 현실이다.
실무자에게 주는 의미
한국 IT 실무자 입장에서 먼저 확인할 것은 자사 인프라에 eMudhra가 발급한 SSL/TLS 인증서가 쓰이고 있는지 여부다. 직접 구매하지 않았더라도 리셀러나 통합 솔루션을 통해 간접적으로 사용 중일 수 있으므로, 웹서버·로드밸런서·API 게이트웨이 등에 설치된 인증서의 발급 기관을 점검해 두는 편이 안전하다. 사용 중이라면 만료 시점과 재발급·갱신 경로를 미리 확보하고, 다른 CA로의 전환 계획을 세워 두는 것이 바람직하다.
CA 사업 철수가 반드시 기존 인증서의 즉각적인 무효화를 뜻하지는 않는다. 일반적으로는 신규·갱신 발급을 중단하고 기존 인증서는 만료 때까지 유지되는 질서 있는 종료(wind-down) 방식을 취하는 경우가 많다. 다만 이번 발표에는 전환 지원이나 유예 기간에 대한 구체적 안내가 포함되어 있지 않으므로, 실제 처리 방식은 eMudhra의 후속 공지를 통해 확인해야 한다. 이 공백기 동안 성급히 추정하기보다는 공식 안내를 기다리면서 대체 CA 후보를 병행 검토하는 것이 합리적이다.
디지털 트러스트 시장의 재편 신호
eMudhra는 SSL/TLS 서버 인증서 외에도 전자서명, 신원 인증, PKI 기반 솔루션 등 폭넓은 디지털 트러스트 영역에서 사업을 영위해 온 기업이다. 이번 결정이 '글로벌 SSL/TLS 인증서 사업'에 한정된다는 점은, 공개 웹용 서버 인증서라는 특정 영역에서만 발을 빼고 나머지 신뢰 서비스는 유지하려는 선택으로 읽힐 여지가 있다. 다만 이는 사업 포트폴리오의 통상적 해석일 뿐, 회사가 밝히지 않은 다른 사업 라인의 향방을 단정할 근거는 아니다.
한 사업자의 퇴장은 공개 CA 시장의 집중도가 더 높아진다는 신호이기도 하다. 소수의 대형 CA와 Let's Encrypt로 대표되는 무료 자동화 발급 체계가 시장을 지배하는 흐름 속에서, 상대적으로 규모가 작은 CA가 운영 비용과 규제 부담을 감당하기 어려워지는 구조가 드러나는 사례다. 서버 인증서를 운영하는 조직이라면 특정 CA 한 곳에 대한 의존을 줄이고, 자동 갱신(ACME) 체계 도입과 인증서 수명 단축 추세에 대비한 운영 자동화를 갖추는 것이 장기적으로 더 중요한 과제가 될 것이다. 현재로서는 eMudhra가 추가로 내놓을 일정과 고객 지원 방안을 지켜보는 것이 선행되어야 한다.