글로벌 코드 서명 타임스탬프 서버
문서 범위
본 문서는 코드 서명에 적용되는 타임스탬프 서비스를 정리하며, Microsoft Authenticode 및 RFC 3161 시나리오에 중점을 둡니다.
- 검증 날짜: 2026-06-18.
- 제공업체의 공식 자료에서 확인할 수 있는 주소만 공개 엔드포인트로 기재합니다.
- 본 문서는 전 세계 모든 타임스탬프 서비스의 전체 목록이 아닙니다. 공개되지 않은 엔드포인트, 상업적 개통이 필요하거나 온프레미스 제품만 제공하는 서비스는 별도로 설명합니다.
- 타임스탬프 서비스의 가용성, 인증서 체인 및 연동 정책은 변경될 수 있으므로 프로덕션 구성 전에 제공업체의 최신 문서를 다시 확인해야 합니다.
타임스탬프 프로토콜
코드 서명에서 흔히 사용되는 두 가지 타임스탬프 프로토콜은 다음과 같습니다:
| 프로토콜 | 설명 |
|---|---|
| Authenticode | Microsoft의 기존 타임스탬프 프로토콜로, 주로 구형 Windows 코드 서명 프로세스와의 호환성을 위해 사용됩니다. |
| RFC 3161 | 범용 타임스탬프 프로토콜로, 현대적인 코드 서명 시나리오에 적합하며 프로덕션 환경에서 우선 사용됩니다. |
RFC 3161 요청은 원본 파일이 아닌 타임스탬프 대상 데이터의 다이제스트를 전송합니다.TSA는 다이제스트, 서명 시간, 정책 및 TSA 서명이 포함된 타임스탬프 토큰을 반환합니다.타임스탬프는 서명이 특정 시점에 이미 존재했음을 증명할 수 있지만, 서명이 장기적으로 유효하게 유지될 수 있는지는 여전히 서명 인증서, 타임스탬프 인증서, 폐기 상태 및 검증 측 정책에 따라 달라집니다.
공개 코드 서명 타임스탬프 엔드포인트
다음 주소는 모두 현행 공식 자료에 명시되어 있으며, 코드 서명 후보로 사용할 수 있습니다.표의 "공개"는 단지 공식적으로 엔드포인트가 공개되었음을 의미할 뿐, 제공업체가 무제한, 무조건적 또는 영구적인 무료 사용을 약속한다는 뜻은 아닙니다.
| 공급자 | 주소 | Authenticode | RFC 3161 | 연동 설명 | 공식 자료 |
|---|---|---|---|---|---|
| Microsoft Artifact Signing | http://timestamp.acs.microsoft.com | 미확인 | ✅ | Microsoft는 Artifact Signing 사용자에게 이 TSA 사용을 권장합니다. Windows RFC 3161 후보로 적합합니다. | Microsoft Artifact Signing |
| Sectigo | http://timestamp.sectigo.com | ✅ | ✅ | 동일 주소에서 Authenticode와 RFC 3161을 지원합니다. 공식적으로 대량 호출 시 요청 간격을 최소 15초 이상 유지해야 합니다. | Sectigo Time Stamp Server |
| DigiCert | http://timestamp.digicert.com | 미확인 | ✅ | Microsoft Authenticode RFC 3161 타임스탬프용으로 공식 지정되어 있습니다. | DigiCert RFC 3161 TSA |
| Certum | http://time.certum.pl | ✅ | ✅ | Certum 공식 코드 서명 문서에서 Windows 코드 서명 및 Java JAR 서명에 이 주소를 사용합니다. | Certum Code Signing |
| GlobalSign | http://timestamp.globalsign.com/tsa/r45standard | 미확인 | ✅ | GlobalSign의 현재 코드 서명 문서에서 이 R45 주소를 사용합니다. | GlobalSign Code Signing in Windows |
| SSL.com | http://ts.ssl.com | ❌ | ✅ | RFC 3161만 지원합니다. 기본 타임스탬프에 ECDSA 키가 사용될 수 있으며, RSA 타임스탬프만 지원하는 구형 도구는 공식 안내에 따라 /legacy 주소를 검토할 수 있습니다. | SSL.com Using Your Code Signing Certificate |
권장 순서
SHA-2 코드 서명의 경우, 다음 순서로 평가하는 것이 좋습니다:
- Microsoft: Windows RFC 3161 타임스탬프 후보로 적합합니다.
- Sectigo: Authenticode와 RFC 3161을 동시에 지원합니다.
- DigiCert: 공식적으로 Microsoft Authenticode RFC 3161을 지원한다고 명시하고 있습니다.
- Certum: 공식 코드 서명 문서에서 Windows 및 Java 서명 시나리오를 모두 다룹니다.
- GlobalSign: 현재 공식 문서의
r45standard주소를 사용합니다. - SSL.com: 호출 측이 RFC 3161을 지원하고, 해당 타임스탬프 인증서와 키 유형을 검증할 수 있는 것이 확인된 경우에만 사용합니다.
순서는 일반적인 Windows 코드 서명 시나리오와의 일치 정도를 나타내며, 서비스 품질, 법적 효력 또는 상업적 등급에 대한 보증을 구성하지 않습니다.프로덕션 환경은 대상 운영 체제, 네트워크 이그레스, 검증 체인, 리전 접근성 및 공급업체 서비스 계약에 따라 선택해야 합니다.
제한적 또는 생태계 전용 서비스
QuoVadis
QuoVadis는 다음 RFC 3161 주소를 공개했습니다:
http://ts.quovadisglobal.com/euhttp://ts.quovadisglobal.com/ch
공식 요구 사항에 따라 먼저 DigiCert에 호출자 송신 IP를 등록해야 하므로 익명 공개 TSA로 사용할 수 없습니다.접속 전에 권한 부여를 완료하고, 선택한 정책과 인증서 체인이 대상 검증 환경에 적합한지 확인해야 합니다.
공식 자료: DigiCert/QuoVadis Timestamp Server
Apple
Apple은 자체 타임스탬프 PKI를 운영하며 Apple Timestamp CA 및 관련 CPS를 공개합니다.http://timestamp.apple.com/ts01은 Apple 코드 서명 생태계에 사용되므로 Windows Authenticode의 일반적인 후보로 적합하지 않습니다.
공식 자료: Apple PKI
공용 또는 평가판 RFC 3161 서비스
다음 서비스는 공개 RFC 3161 엔드포인트를 제공하지만, 사용 범위, 호출 할당량 또는 신뢰 체인이 범용 프로덕션 코드 서명 서비스로는 적합하지 않습니다.사용 전에 대상 검증 환경에서 타임스탬프 인증서 체인을 확인해야 합니다.
| 공급자 | 주소 | 적용 범위 | 제한 사항 | 공식 자료 |
|---|---|---|---|---|
| MeSign | http://tsa.mesign.com | 문서 서명, 전자 데이터 보존 및 RFC 3161 프로토콜 체험 | 공식 무료 체험 서비스는 Adobe 문서 타임스탬프에 한정되며, IP당 일일 20회로 제한됩니다. 코드 서명 호환성은 별도로 검증해야 합니다. | MeSign TSA |
| FreeTSA | https://freetsa.org/tsr | RFC 3161 프로토콜 테스트, 범용 데이터 및 코드 타임스탬프 | 무료 공공 서비스로 자체 CA와 TSA 인증서를 사용하므로, 대상 운영 체제나 코드 서명 검증자가 기본적으로 신뢰한다고 가정해서는 안 됩니다. | FreeTSA |
공용 코드 서명 엔드포인트로 직접 나열해서는 안 되는 서비스
다음 유형은 "직접 구성 가능한 공개 코드 서명 TSA"와 다릅니다:
- Entrust: 현재 공식 페이지에는 RFC 3161/RFC 5816 기반의 온프레미스 Timestamping Authority 제품이 소개되어 있으며, 해당 페이지에서
http://timestamp.entrust.net/TSS/RFC3161sha2TS이(가) 공개 코드 서명 엔드포인트인지는 확인되지 않습니다. - 중국 본토 상용 TSA: GDCA, CFCA, 안신 CA, SmartCert, TrustAsia 등 업체가 타임스탬프 제품 또는 서명 도구를 제공하지만, 공개 제품 페이지에는 일반적으로 익명 호출이 가능한 통합 프로덕션 URL이 명시되어 있지 않습니다. 조달, 계약 또는 업체 기술 지원을 통해 엔드포인트, 인증 방식, 정책 OID, 속도 제한 및 SLA를 확인해야 합니다.
- Sigstore Timestamp Authority: 배포 가능한 RFC 3161 TSA 오픈소스 구현으로, 고정된 글로벌 공용 엔드포인트와 동일하지 않습니다.
- 과거 GlobalSign 주소:
http://timestamp.globalsign.com/tsa/r6advanced1및http://rfc3161timestamp.globalsign.com/advanced은(는) 현재 GlobalSign 코드 서명 문서에 나타나지 않으므로, 현재 공개된r45standard주소를 사용해야 합니다. - StartSSL:
http://tsa.startssl.com/rfc3161은(는) 확인 가능한 현재 공식 서비스 자료가 없으므로 계속 사용해서는 안 됩니다. - nCipher 예시 주소:
http://dse200.ncipher.com/TSS/HttpTspServer은(는) 과거 데모 또는 테스트 시스템에 가까우며, 현재 공용 프로덕션 서비스 근거가 없습니다. - 출처와 운영 정책이 불분명한 주소:
https://ca.signfiles.com/tsa/get.aspx,http://services.globaltrustfinder.com/adss/tsa및https://tsp.iaik.tugraz.at/tsp/TspRequest은(는) 현재 공식 서비스 설명, 신뢰 정책 또는 가용성 보장이 충분하지 않아 프로덕션 후보 목록에 추가해서는 안 됩니다. - 기타 연구 네트워크 TSA: 프로토콜 테스트에는 사용할 수 있지만, 코드 서명 프로덕션 보장 자료가 충분하지 않아 프로덕션 기본 서비스로 권장하지 않습니다.
프로덕션 연동 점검
TSA를 기본 목록 또는 프로덕션 폴백 체인에 추가하기 전에 최소한 다음 사항을 확인하십시오.
- 공급자의 공식 자료에 엔드포인트와 지원 프로토콜이 명확히 공개되어 있는지 확인하세요.
- 올바른 타임스탬프 프로토콜을 사용하세요. RFC 3161만 지원하는 주소는 Authenticode 요청에 사용할 수 없습니다.
- SHA-256 이상의 타임스탬프 다이제스트 알고리즘을 사용하고, 대상 플랫폼이 TSA의 서명 알고리즘 및 키 유형과 호환되는지 확인하세요.
- 대상 Windows, macOS 또는 기타 검증 환경에서 전체 타임스탬프 인증서 체인을 확인하세요.
- 아웃바운드 네트워크, 프록시, 방화벽 및 DNS가 엔드포인트에 안정적으로 접근할 수 있는지 확인하세요.
- 인증 방식, 속도 제한, 서비스 약관, 지역 제한 및 SLA를 확인하세요.
- 실제 서명 산출물로 서명 검증을 수행하세요. 브라우저 접근이나 HTTP 상태 코드만으로 TSA 가용성을 판단해서는 안 됩니다.