바이낸스 SSL 인증서 체인 검증: DigiCert 주 체인과 OCSP 상태 실전

바이낸스 SSL 인증서 체인 검증은 2026년 진위 식별 5차원에서 "증거 체인 하부"의 역할을 담당한다. 인증서 체인 중 한 항목이라도 잘못되면 도메인이 아무리 유사해 보여도 통과할 수 없다. BiabaCore는 커맨드라인 openssl 캡처, 브라우저 자물쇠 아이콘 클릭, DigiCert 주 체인 구조, OCSP Stapling 판정, Let's Encrypt 경계 규칙, 인증서 투명성 CT 로그 조회의 6개 절차를 완전히 정리했다. 기본 커맨드라인 능력을 갖춘 사용자라면 누구든 5분 안에 한 번의 검증을 완료할 수 있다. 진위 식별 총강은 /docs/binance-official-url-2026/를 참조하라. 공식 진입점은 Binance 공식 사이트 또는 다운로드 페이지에서 진입하고, 앱은 Binance 공식 앱에서 받는다.

1. 바이낸스 인증서 체인 구조 개요

A: 바이낸스 주 도메인 binance.com의 2026년 인증서 체인은 3단 구조다. 리프 인증서는 DigiCert Global G2 중간 CA에서 발급하고, 중간 CA는 DigiCert Global Root G2 루트 인증서에서 발급하며, 루트 인증서는 모든 주류 운영체제에 내장되어 있다. 이 주 체인에서 벗어난 인증서는 모두 이상 신호다.

3단 인증서 체인

계층	명칭	유효기간	서명 알고리즘
루트 인증서	DigiCert Global Root G2	2038-01-15 만료	SHA256RSA
중간 인증서	DigiCert Global G2 TLS RSA SHA256 2020 CA1	2030-03-30 만료	SHA256RSA
리프 인증서	*.binance.com / binance.com	통상 1년	SHA256RSA

보조 발급자

BiabaCore는 2026년 상반기에 바이낸스 일부 서브 도메인이 Sectigo RSA Domain Validation Secure Server CA에서 발급받는 사례를 소량 관찰했으며, 주로 academy.binance.com 같은 문서 사이트에 사용된다. 핵심 거래 도메인인 binance.com, accounts.binance.com은 여전히 DigiCert 체인을 고정적으로 사용한다.

인증서 주체(Subject) 필드

• CN: *.binance.com
• O: Binance Holdings Limited
• L: 컴플라이언스 주체 소재지에 따름
• C: KY / MT / AE 등 (바이낸스 그룹 등록지)

A: Subject의 O 필드는 "Binance Holdings Limited"이다. O 필드가 비어 있거나 개인 이름, 무관한 회사가 적혀 있다면 위조로 판정한다.

2. openssl s_client 캡처 명령

A: openssl s_client는 가장 직접적이고 신뢰할 수 있는 인증서 체인 캡처 도구이며, Windows/macOS/Linux 전반에서 사용 가능하고 캡처한 데이터는 오프라인 분석이 가능하다.

기본 캡처 명령

openssl s_client -connect binance.com:443 -servername binance.com -showcerts < /dev/null

Windows에 openssl이 없다면 https://slproweb.com/products/Win32OpenSSL.html 에서 다운로드할 수 있다. macOS는 LibreSSL이 기본 제공되며, brew install openssl로 원본 OpenSSL로 교체할 수 있다.

출력 해석

명령 출력에는 다음이 포함된다:

1. Server certificate 섹션: 리프 인증서 PEM 인코딩
2. Certificate chain 섹션: 완전한 체인의 각 계층
3. Verify return code: 체인 검증 결과 (0은 통과)
4. SSL Session 섹션: TLS 버전, 암호 스위트

대조용 단일 인증서 캡처

openssl s_client -connect binance.com:443 -servername binance.com < /dev/null 2>/dev/null | openssl x509 -outform PEM > binance.pem

binance.pem 파일을 얻으면 오프라인에서 openssl x509 -in binance.pem -text -noout로 완전한 필드를 조회할 수 있다.

SHA-256 지문 캡처

openssl x509 -in binance.pem -fingerprint -sha256 -noout

출력된 지문은 알려진 공식 샘플과 대조해야 한다. BiabaCore 정보 저장소는 매월 한 번 알려진 유효 인증서 지문 목록을 발표한다.

3. DigiCert 주 체인 검증

A: DigiCert Global Root G2의 SHA-256 지문은 고정되어 있다: cb:3c:cb:b7:60:31:e5:e0:13:8f:8d:d3:9a:23:f9:de:47:ff:c3:5e:43:c1:14:4c:ea:27:d4:6a:5a:b1:cb:5f. 이 지문을 대조하는 것이 루트 인증서 미교체 여부 확인의 핵심이다.

중간 CA 지문 대조표

중간 CA 명칭	SHA-256 지문 앞 8바이트
DigiCert Global G2 TLS RSA SHA256 2020 CA1	1e:44:3c:2c:14:52:f4:1d
DigiCert Global G3 TLS ECC	e8:78:8a:03:87:b8:f3:d3
DigiCert TLS RSA SHA256 2020 CA1	3f:66:f9:b3:71:1b:60:d5

캡처한 중간 인증서 SHA-256 앞 8바이트는 위 표의 항목 중 하나와 일치해야 한다. 일치하지 않으면 인증서 체인이 교체되었음을 의미한다.

체인 무결성 검증

openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt -untrusted intermediate.pem leaf.pem

출력이 OK이면 체인 완전, unable to get local issuer certificate 또는 certificate verify failed가 나오면 거부해야 한다.

4. OCSP Stapling 상태 판정

A: OCSP Stapling은 서버가 능동적으로 OCSP 응답을 TLS 핸드셰이크에 패키징하는 메커니즘이며, 2026년 바이낸스 주 사이트는 전면 활성화했다. 캡처한 OCSP 응답은 Cert Status: good을 표시해야 한다.

OCSP Stapling 캡처

openssl s_client -connect binance.com:443 -status < /dev/null 2>/dev/null | grep -A 10 "OCSP response"

예상 출력 조각:

OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Cert Status: good

OCSP 상태 의미

상태	의미	처리
good	인증서 유효	통과
revoked	이미 폐기됨	즉시 거부
unknown	CA가 해당 인증서를 인식 못 함	고위험, 거부
OCSP 응답 없음	서버가 Stapling 비활성화	수동 2차 검증 필요

A: 캡처한 응답이 revoked 또는 unknown이면, 도메인과 리프 인증서가 정상으로 보여도 반드시 거부해야 한다. 공격자가 만료된 또는 폐기된 정당한 인증서를 리플레이했을 가능성이 있다.

Stapling 없을 때의 독립 OCSP 조회

openssl ocsp -issuer intermediate.pem -cert leaf.pem -text -url http://ocsp.digicert.com

-url로 CA의 OCSP 엔드포인트를 지정해야 한다. DigiCert의 엔드포인트는 http://ocsp.digicert.com, Sectigo는 http://ocsp.sectigo.com이다.

5. Let's Encrypt 경계 규칙

A: 바이낸스 주 사이트와 핵심 서브 도메인은 2026년에 Let's Encrypt를 사용하지 않는다. 캡처한 리프 인증서의 Issuer가 Let's Encrypt Authority인 경우 모두 고위험 의심 신호로 간주해야 한다.

Let's Encrypt 판정을 위한 3개 필드

1. Issuer CN에 "Let's Encrypt" 포함
2. Issuer O가 "Let's Encrypt"
3. 인증서 유효기간 90일(Let's Encrypt 강제 상한)

왜 Let's Encrypt가 고위험 의심인가

Let's Encrypt는 무료 자동화 CA로, 어떤 도메인이라도 30초 안에 발급받을 수 있다. 피싱 사이트의 약 93%가 Let's Encrypt를 사용한다(데이터는 /docs/binance-phishing-domain-yearly-stats/ 참조). 바이낸스는 컴플라이언스 거래소로서 반드시 유료 확장 검증 인증서를 조달하며, 무료 자동화 CA를 사용하지 않는다.

극히 드문 예외

일부 비거래성 서브 도메인(예: 어떤 마케팅 이벤트 일회성 서브 도메인)은 단기간 Let's Encrypt를 사용할 수 있다. BiabaCore의 권장 사항:

• 핵심 도메인(binance.com / accounts.binance.com / api.binance.com)에서는 절대로 Let's Encrypt를 허용하지 않는다
• 주변 서브 도메인에서 Let's Encrypt가 나타나면 5차원 중 ASN 귀속과 결합하여 2차 검증을 요구한다

6. 인증서 투명성 CT 로그

A: 인증서 투명성(Certificate Transparency) 로그는 공개 발급된 모든 SSL 인증서가 반드시 제출해야 하는 공개 로그이며, 누구든 crt.sh 또는 Google CT에서 특정 도메인에 대해 역사적으로 발급된 모든 인증서를 조회할 수 있다. 이는 의심 인증서 식별을 위한 또 다른 독립 채널이다.

crt.sh 조회 절차

1. https://crt.sh 열기
2. binance.com 입력
3. 반환된 인증서 목록 확인
4. 최신 인증서의 Issuer가 캡처한 것과 일치하는지 대조
5. 발급 시간이 합리적 범위 내인지 대조

CT 로그로 발견 가능한 공격

• 공격자가 도난된 API로 정당한 CA에서 발급한 위조 인증서
• 도메인 하이재킹 후 단기 삽입된 자체 서명 인증서
• 중간자 프록시가 임시 발급한 인증서

CT 로그 검증 휴리스틱

관찰	판정
캡처한 인증서 시리얼 번호를 crt.sh에서 찾을 수 없음	매우 높은 위험, 로컬 위조 가능성
crt.sh 최신 인증서가 캡처한 것과 불일치	고위험, 중간자 가능성
crt.sh가 특정일에 여러 단기 인증서 집중 발급 표시	중위험, 공격 시도 가능성
캡처한 인증서가 CT 로그에 다년간 이력 존재	정상

7. 브라우저 자물쇠 아이콘 검증(커맨드라인 없는 버전)

A: 커맨드라인 사용이 어렵다면 브라우저 자물쇠 아이콘으로도 기본 검증을 완료할 수 있다. 다만 Issuer와 주체만 볼 수 있고 OCSP와 CT 상세는 볼 수 없다.

Chrome 검증 단계

1. 주소창 자물쇠 아이콘 클릭
2. "Connection is secure" 선택
3. "Certificate is valid" 선택
4. 팝업에서 "Details"로 전환
5. Issuer Name과 Subject Name 확인

Firefox 검증 단계

1. 주소창 자물쇠 아이콘 클릭
2. ">" 클릭
3. "More Information" 선택
4. "View Certificate" 클릭
5. 새 탭에서 완전한 인증서 상세 확인

브라우저 검증으로 조회 가능한 필드

필드	Chrome	Firefox	Safari
Issuer 명칭	지원	지원	지원
Subject O 필드	지원	지원	확장 필요
SHA-256 지문	지원	지원	지원
OCSP 상태	미지원	부분 지원	미지원
CT 로그	지원	지원	미지원

8. 기업급 인증서 피닝 방안

A: BiabaCore는 거액 계정 및 기업급 사용자에게 기기에서 인증서 피닝(Certificate Pinning)을 활성화할 것을 권한다. 내부 프록시 계층을 통해 바이낸스 인증서의 SHA-256 지문을 강제로 검증한다.

피닝 방안

1. 기업 프록시 계층(Squid, mitmproxy 등)에 알려진 유효 지문 목록 로드
2. 지문 데이터베이스 구축 및 여러 기기에서 정기적으로 교차 캡처 대조
3. 지문 변화 발견 시 수동 2차 검증 트리거
4. 갱신 주기는 30일마다 한 번 검증으로 설정 (/docs/binance-official-url-2026/의 재검토 주기 참조)

데스크톱 앱 내장 피닝

Binance 공식 앱은 2026년 데스크톱 버전에 인증서 피닝을 내장했으며, 사용자가 수동 구성할 필요가 없다. 이는 순수 브라우저 대신 데스크톱 클라이언트를 사용하는 또 다른 보안 이득이다.

9. 계정 바인딩과 진위 연동

계정이 없다면 먼저 지금 가입을 통해 KYC를 마친 뒤 인증서 검증을 학습하라. 계정이 있는 사용자는 이 글을 북마크에 추가해 정기 재검토의 근거로 삼는 것을 권장하며, 공식 진입점은 항상 Binance 공식 사이트에서 접근한다.

리스크 경고: SSL 인증서 체인은 5차원 중 한 차원일 뿐이며, 인증서가 통과해도 도메인 지문, ASN, 설치 패키지 서명, 리디렉션 경로(/docs/binance-official-url-2026/ 참조)를 여전히 검증해야 한다. BiabaCore 내부 표준은 5차원 전부 통과해야 통관 허용이다.

10. 자주 묻는 질문

문: 캡처한 인증서의 Issuer가 Let's Encrypt이면 반드시 피싱인가요?

A: 핵심 도메인이라면 높은 확률로 피싱이다. binance.com / accounts.binance.com / api.binance.com이 Let's Encrypt를 사용하는 것은 공식 정책과 부합하지 않는다. 주변 서브 도메인은 예외가 있을 수 있으며, ASN과 도메인 지문을 결합해 2차 검증이 필요하다.

문: Windows에서 openssl은 어떻게 설치하나요?

A: https://slproweb.com/products/Win32OpenSSL.html 에서 Win64 OpenSSL Light 버전을 다운로드하면 되며, 설치 후 PowerShell 또는 CMD에서 openssl.exe를 직접 호출할 수 있다. Git for Windows 부속 openssl도 사용 가능하다.

문: OCSP Stapling 무응답 표시가 공식을 오탐할 수 있나요?

A: 극히 드문 경우 공식도 부하 조정으로 임시 Stapling을 끌 수 있다. 이때는 독립 OCSP 조회 openssl ocsp -issuer ... -url http://ocsp.digicert.com로 보완하면 된다.

문: CT 로그에 여러 개의 binance.com 인증서가 있는 것이 정상인가요?

A: 정상이다. 바이낸스는 여러 서브 도메인에 인증서를 발급하고, 매 갱신마다 새 기록이 추가된다. crt.sh 이력 누적은 통상 수십에서 수백 개다. 이상 신호는 "최신 것이 캡처한 것과 불일치" 또는 "캡처한 것이 CT에 전혀 없음"이다.

문: 바이낸스 주 사이트 TLS 버전은 무엇인가요?

A: 2026년 바이낸스 주 사이트는 TLS 1.2와 TLS 1.3만 지원하며, TLS 1.0/1.1은 완전히 중단되었다. 암호 스위트는 AEAD류(AES-GCM 또는 ChaCha20-Poly1305)이며, 캡처된 구식 스위트는 모두 이상 신호다.

문: 일반 사용자도 매번 접속할 때마다 인증서를 검증해야 하나요?

A: 그럴 필요는 없다. 일상 접속에서는 브라우저 자물쇠 아이콘을 신뢰하면 되며, 다음 시나리오에서만 능동적으로 검증한다: 새 기기 최초 접속, 피싱 의심 사이트, 네트워크 전환 후(예: 공용 WiFi 접속), 월간 재검토.

문: 인증서 검증 통과 후 영구 신뢰할 수 있나요?

A: 불가능하다. 인증서 자체는 갱신되고, CA도 조정되며, 공격자도 언제든 새 전략을 시도한다. BiabaCore 내부 표준은 30일마다 재검토다. 더 많은 관련 규범은 /docs/binance-anti-phishing-real-fake/와 /docs/binance-app-download-2026-latest/를 참조하라.

문서 발행일 2026-07-09, 다음 재검토 계획 2026-10-09.