정기적인 키 교체는 계획된 사용 기간과 보호 정책을 관리하는 일입니다. 반면 키 유출 대응은 다음 교체일까지 기다리지 않고 해당 키가 더 이상 안전하다고 볼 수 있는지 판단해 사용을 제한하고, 대체와 영향 확인을 진행하는 사고 대응 문제입니다.
교육용으로 90일 교체 주기와 40일째 유출 발견을 가정하면 예정 교체일까지 50일이 남습니다. 이 50일은 기다려도 된다는 허가가 아니라, 계획 일정과 침해 이벤트가 서로 다른 사건임을 보여 주는 계산입니다.
정기 교체와 유출 대응은 시작 조건이 다릅니다
암호키는 생성한 뒤 계속 쓰는 값이 아니라, 목적에 맞게 보호하고 사용하며 수명과 폐기를 관리해야 하는 자산입니다. NIST SP 800-57 Part 1 Rev. 5는 키 관리의 일반 원칙과 키 종류별 보호·사용 맥락을 다룹니다. 조직은 시스템·위협·정책에 맞춰 키 수명과 교체 일정을 정할 수 있지만 이 문서 하나에서 모든 서비스에 적용할 고정 주기를 꺼낼 수는 없습니다. 30일이나 90일 같은 숫자를 근거 없이 보편 권장치로 제시하면 안 됩니다.
| 상황 | 계획된 수명 관리 | 유출 의심 또는 확인 |
|---|---|---|
| 시작 조건 | 정책상 예정된 날짜·사용량 도달 | 비밀값 노출, 접근 흔적, 보호 경계 침해 등 위험 신호 |
| 목표 | 허용된 수명 범위에서 새 키로 전환 | 위험한 키의 추가 사용을 멈추고 영향과 복구를 판단 |
| 일정 | 미리 정한 전환 절차에 따름 | 예정일이 아니라 사건 위험과 대응 정책에 따라 판단 |
| 추가 확인 | 새 키로 서비스가 올바르게 전환됐는지 확인 | 노출 범위, 관련 자료, 저장 데이터와 검증 체계를 함께 조사 |
가상 타임라인에서 남은 기간을 계산합니다
교육용 시간표를 만들어 보겠습니다. 예시 시스템의 정책이 키 A를 시작일로부터 90일 사용하고, 90일째 정상적으로 키 B로 바꾼다고 가정합니다. 그러나 운영자가 40일째 키 A의 비밀값이 노출됐을 가능성을 알게 됩니다. 예정된 교체일까지 남은 시간은 90−40=50일입니다. 이 계산은 일정 사이의 차이일 뿐, 50일 동안 계속 사용해도 안전하다는 판단이 아닙니다. 위험 신호가 확인되면 사건 대응 기준에 따라 사용 제한, 대체, 접근 로그와 관련 데이터의 영향 검토 등 별도 판단이 필요합니다.
- 먼저 사건을 구분합니다. 예정된 만료·교체인지, 키가 안전하지 않을 수 있다는 신호인지 확인합니다.
- 키가 사용되는 용도와 시스템 범위를 식별합니다. 이 설명은 실제 자산 목록이 아닌 교육용 분류입니다.
- 승인된 사고 대응 절차에 따라 위험한 키의 추가 사용을 제한하고 안전한 대체 경로를 마련합니다.
- 그 키로 보호하거나 인증한 데이터, 토큰, 메시지, 인증서 등 영향을 받는 항목을 찾아 별도 평가합니다.
- 관련 검증·폐기 상태와 복구가 완료됐는지 확인하고, 이후 키 수명·보호 정책의 개선 필요를 검토합니다.
순서는 실제 시스템의 운영 지침을 대체하지 않습니다. 키의 종류에 따라 우선순위와 기술 절차가 다르며, 대칭 데이터 암호화 키, 서명 개인키, 인증서 키를 같은 방식으로 취급할 수 없습니다. 과거에 그 키로 암호화된 데이터가 지금도 읽힐 수 있는지, 키가 서명에 쓰였는지, 복사본이나 백업이 존재하는지처럼 영향 분석도 키 목적에 맞춰야 합니다. 여기서는 사건이 발생하면 다음 정기 일정과 별도로 위험을 다룬다는 학습 원칙에 집중합니다.
인증서 폐기는 키 교체 전체를 뜻하지 않습니다
X.509 인증서가 관련된 경우 RFC 5280은 인증기관이 발급한 인증서의 폐기 상태를 표시할 책임이 있다고 설명합니다. 상태 정보는 OCSP, CRL 또는 다른 메커니즘으로 제공될 수 있습니다. 인증서 폐기 상태 확인은 공개키 기반 인프라의 한 부분입니다. 이것이 대칭키를 포함한 모든 암호키가 같은 방식으로 폐기된다는 뜻은 아닙니다. 이 RFC는 2008년에 발행된 인증서와 인증서 폐기 목록 프로파일입니다. 현재 모든 기관의 실제 운영 절차를 대변하지 않습니다.
흔한 오답은 ‘키를 주기적으로 돌리니 유출돼도 최대 주기까지만 위험하다’고 단정하는 것입니다. 유출을 알고도 기다리는 동안 공격자가 키를 사용할 수 있고, 키를 훔쳐 간 시점은 발견 시점보다 앞설 수 있습니다. 반대로 사고라고 표시하는 것만으로 과거 데이터가 자동 복호화되거나 인증서 상태가 모든 사용처에 즉시 반영된다고 볼 수도 없습니다. 계획 교체와 사고 대응을 구별한 뒤, 실제 조치는 해당 키 종류와 영향 범위, 운영 정책에 연결해야 합니다.
회상 연습: 달력과 사고 신호를 나눕니다
교육용 문제입니다. 키를 90일마다 바꾸는 가상 정책에서 40일째 유출 의심 신호가 발견됐습니다. 예정 교체일까지 며칠이 남았나요? 남은 기간 동안 예정일을 기다리는 것이 곧 안전한 대응이라는 뜻인가요? 인증서에 묶인 키라면 RFC 5280이 언급하는 폐기 상태 전달 방식은 무엇인가요?
90−40=50일이 남습니다. 그러나 이것은 달력 계산일 뿐 안전을 보증하지 않으므로, 유출 의심은 계획된 만료와 다른 사건으로 다뤄야 합니다. RFC 5280은 OCSP, CRL 또는 다른 메커니즘을 언급합니다. 이 인증서 사례를 모든 대칭키의 폐기 방법으로 일반화하지 않습니다. 이 연습은 키 수명 관리와 사고 대응의 출발점을 구분하기 위해 새로 만든 예시입니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
교육용 90일 키 교체 가정에서 40일째 유출 신호가 확인됐다. 예정일은 며칠 남았고, 그 기간을 기다리는 것이 사고 대응을 대신하는가?
정답과 해설 확인
50일 남았지만, 남은 기간 계산이 사고 대응을 대신하거나 기다려도 안전하다는 뜻은 아닙니다.90−40=50입니다. 정기 교체는 계획된 수명 관리이고 유출 신호는 별도 위험 사건입니다. 실제 조치는 키 종류와 영향 범위에 맞는 승인된 대응 절차에 따라 결정해야 합니다.