RADIUS 인증 실패 및 해결 사례

RADIUS 네트워크 인증 환경에서는 보안 강화를 위해 공인인증서를 사용하며, 공인인증서는 매해 갱신 작업이 필요합니다. 하지만 인증서 갱신 과정에서 예상치 못한 클라이언트 인증 실패가 발생하였습니다.

이 글에서는 공인인증서(Globalsign) 갱신 이후 발생한 RADIUS 인증 실패 사례를 분석하고, 원인과 해결 과정을 공유합니다.

공인인증서 갱신 후 RADIUS 인증 실패 문제를 경험했거나, RADIUS 인증 프로세스, 인증서 체계에 관심 있는 독자에게 도움이 되길 바랍니다.

ℹ️ 참고: 이 글을 이해하려면 기업 내 네트워크 인증 운영과 RADIUS 및 EAP-TLS 인증 체계에 관한 기본 지식이 필요합니다.

배경

우아한형제들은 EAP-TLS(인증서) 인증을 Windows, macOS 등과 같은 다양한 OS 운영 환경에서 적용하고 있습니다.

원인

네트워크 단말 인증 실패에는 두 가지 원인이 있었습니다.

1) 루트/중간 인증서가 변경되었습니다.

RADIUS/EAP 네트워크 인증서버에서 기존에 사용했던 루트 인증서가 Globalsign R6 루트인증서로 변경되었습니다. 변경된 루트인증서는 클라이언트 단말에서 신뢰할 수 없는 인증서였고 이로 인해 네트워크 인증 실패가 발생하였습니다.

변경된 사유는 아래와 같습니다.

• Mozilla와 같은 주요 브라우저 개발사에서 루트 인증서 신뢰 기준 강화 발표: 2025.04부터 더 이상 Globalsign R1 루트인증서(SHA-1 해시 알고리즘 기반)를 신뢰하지 않음
• GlobalSign은 업계 표준을 준수하기 위해 2024.03.13 이후 발급되는 인증서 R1 루트 배포중단
• 루트 인증서 발급 시기 해시 알고리즘 유효 기간 브라우저 호환성 특징

  R1	1999년	SHA-1	2028/01/28 까지	대부분의 구형 및 최신 브라우저와 호환	GlobalSign의 최초 루트 인증서로, SHA-1의 보안 취약점으로 인해 현재는 사용이 제한적입니다.
  R3	2009년	SHA-256	2029/03/18 까지	대부분의 최신 브라우저와 호환	SHA-256 알고리즘을 사용하여 보안성이 강화되었으며, 현재 GlobalSign의 주요 비즈니스에 널리 사용되고 있습니다.
  R6	2014년	SHA-384	2034/12/10 까지	최신 브라우저와 호환, 일부 구형 브라우저에서는 호환성 문제 발생 가능	SHA-384 알고리즘과 더 긴 키 길이를 사용하여 보안성이 더욱 강화되었으며, 최신 인증서 발급에 사용되고 있습니다.

[GlobalSign의 주요 루트인증서 비교]

2) RADIUS 인증 환경은 폐쇄망으로 저장된 인증서만 신뢰합니다.

RADIUS 인증 이전의 클라이언트 단말은 오프라인 상태와 동일합니다. 따라서 단말은 로컬영역에 저장된 인증서를 기반으로 서버 인증서를 신뢰(Trust Chain)하게 됩니다. 온라인 상태에서는 중간 인증서가 없는 경우 CA Issuer URI를 사용해 인증서를 자동으로 가져오기도 합니다. 하지만 RADIUS 인증은 네트워크 연결을 위한 인증이기에 폐쇄망의 상태와 동일합니다.

[EAP-TLS: Breaking Into Secure TLS Deployments](https://www.thexero.co.uk/wifi/Breaking-EAP-TLS)

해결 과정

해결 과정을 살펴보기 전에 먼저 교차 인증서(Cross Certificate)에 대한 이해가 필요합니다.

교차 인증서(Cross Certificate)는 인증서를 신뢰할 수 있는 대체 경로를 만듭니다.

GlobalSign은 교차 인증서를 사용하여 대체 Root 인증서에 연결합니다. 교차인증서는 오래된 PC, 업데이트 되지 않은 PC, 하나의 Root만 포함 된 레거시 장치를 지원해야 하는 고객에게 유용 합니다. – 유서트 Root&Chain 업데이트 안내자료 중 일부

원인과 마찬가지로 해결 방법도 크게 두 가지가 있었습니다.

1) 클라이언트 단말에 ‘Cross Root 인증서’ 설치
2) 서버 인증서에 ‘Cross Root 인증서’ 추가

아래 운영 환경을 보면 두 번째 안이 훨씬 합리적인 해결 방법임을 알 수 있습니다.

• 2만 대 이상의 인증 단말
• 이 세상 모든 OS (Windows / macOS / iOS / Android / Linux)
• 모바일 OS에서는 수동 설치가 어려움
• 채 1개월도 남지 않은 서버인증서 만료기한

두 번째 안의 경우 인증서 발급 대행사의 지원이 꼭 필요한 해결 방법이었습니다. 유서트 담당팀과 충분한 의사소통을 하였고, 기술 지원을 받아 해결할 수 있었습니다. 재차 검증해 확인한 내용은 다음과 같습니다.

• Mozilla 재단을 비롯한 글로벌 웹브라우저에서 2025년 4월 R1 루트 및 기존 체인을 비신뢰로 변경할 수 있음
• R6/R1 Cross Chain(교차 체인)을 추가한 인증서는 글로벌 사인에서 공식적으로 발급하지 않는다. 따라서 우아한형제들에서 충분히 확인 후 사용해야 함

최종 확인한 내용은 아래와 같습니다.

• RADIUS 인증은 단말 프로비저닝 시 관련 인증서를 별도 설치해 기존 루트 및 체인 인증서가 변경, 삭제되어도 문제 없음
• R1 Root 인증서 만료(2028-01-28) 기간인 3년 후에는 R6 Root 인증서로 무중단 마이그레이션이 가능(단계적 단말교체 전략)

향후 방안

이번 경험을 바탕으로, 향후 RADIUS 인증의 안정성을 높이기 위해 다음과 같은 대응 방안을 마련할 예정입니다.

• Globalsign에서는 폐쇄망 전용의 Multi-Year(다년) 인증서를 판매하는 것으로 확인해 사용 가능 여부를 확인하고 있습니다.
  

  We will continue to offer multi-year validity for Intranet SSL (privately trusted SSL/TLS) – 397 Day Maximum TLS Certificate Validity :: GlobalSign

• 새로 발급받는 서버 인증서에 크로스루트(R6R1 Cross Chain)가 누락되어 있지 않은지 확인하는 과정을 당분간(R1 루트 만료전까지) 진행할 계획입니다.

이번 사례는 서버 인증서 갱신 작업 중 RADIUS 인증에 예기치 못한 이슈가 발생한 사례입니다. 네트워크 인증 서버에서는 레퍼런스를 찾아 볼 수 없었던 내용이기에 해결 사례를 공유합니다.