연구진이 중간 인증서 8개의 개인 서명 키를 복구한 뒤, eMudhra 인증서 결함으로 인해 Google, Mozilla, Apple, Microsoft는 2026년 10월 17일부터 10월 20일 사이에 영향을 받은 인증서를 차단했다. Google은 Chrome Root Store를 사용하는 기기 전반에 적용되는 eMudhra 루트 인증서의 추가 제거도 발표했으며, 배포는 10월 27일로 예상된다.
주요 내용
- 중간 인증서 8개의 개인 키를 손쉽게 복구할 수 있었다. 웹사이트 보안용 6개, 코드 서명용 2개였다.
- Chrome이 차단하기 전까지 영향을 받은 중간 인증서 6개에 연결되는 TLS 인증서는 공개적으로 로그에 기록되지 않았다. 인증서 투명성 적용 범위 밖에서의 노출 여부는 불확실하다.
- Chrome의 예정된 루트 인증서 제거로 정상적인 인증서도 작동이 중단될 수 있어, 영향을 받는 웹사이트 운영자는 인증서를 교체해야 한다.
목차
eMudhra 인증서 결함이 신뢰를 훼손한 경위
영향을 받은 인도 기반 인증기관의 키는 2025년 4월 30일에 생성됐다. Mozilla 엔지니어 Dennis Jackson은 8개 키 모두 256보다 작은 정수를 사용해, 안전한 암호화 키에 기대되는 무작위성을 제공하지 못하고 거의 즉시 복구할 수 있었다고 밝혔다.
Mozilla는 10월 17일 독립적으로 키를 복구해 연구진의 조사 결과를 확인했다. 영향을 받은 TLS 서명 키를 확보하면 공격자가 해당 인증기관을 여전히 신뢰하는 클라이언트를 대상으로 웹사이트를 사칭하는 인증서를 위조할 수 있었다.
eMudhra는 근본 원인 분석에서 키 생성 스크립트가 비슷한 레이블을 가진 두 번째의 더 취약한 키 쌍을 생성했다고 밝혔다. 이 키 쌍이 인증서 서명 요청에 실수로 사용됐으며, 절차의 여러 단계에서 사람의 실수가 있었다.
| 항목 | 세부 내용 |
|---|---|
| Chrome | 2026년 10월 17일 영향을 받은 공개 키를 차단했다. |
| Firefox | 10월 17일 22:59 UTC에 OneCRL 차단을 완료했다. |
| eMudhra | 10월 18일 영향을 받은 인증서 8개를 폐기된 것으로 표시했다. |
| Apple | 10월 19일 차단 조치를 시행했다. |
| Microsoft | 10월 20일 차단 조치를 시행했다. |
긴급 차단 조치로 확인된 사실과 확인되지 않은 사실
Chrome은 CRLSet 메커니즘을 통해 영향을 받은 공개 키를 차단해 브라우저 업데이트나 재시작 없이도 사용자를 보호했다. Firefox는 같은 날 OneCRL 차단을 배포했으며, 이후 eMudhra는 인증서 8개를 폐기했다.
Google은 차단 조치를 시행하기 전까지 영향을 받은 중간 인증서 6개에 연결되는 TLS 인증서가 인증서 투명성 로그에 나타나지 않았다고 밝혔다. 이에 따라 Chrome을 포함해 해당 로그 기록 요건을 적용하는 클라이언트를 대상으로는 해당 인증기관의 위조 인증서를 사용할 수 없었다고 설명했다.
그러나 이 조사 결과만으로 다른 환경에서 키가 악용됐는지 여부가 확인되는 것은 아니다. 브라우저가 아닌 소프트웨어는 인증서 투명성을 반드시 적용하거나 이에 상응하는 차단 업데이트를 받는 것이 아니므로, 이전에 노출된 범위는 여전히 밝혀지지 않았다.
광범위한 루트 인증서 제거와 교체 기한
Google의 Chrome 및 Android 보호 조치 발표에는 Chrome Root Store에서 emSign ECC Root CA – G3를 제거하는 내용도 담겼다. 사전 출시 채널에서는 더 일찍 제공되고, 광범위한 배포는 2026년 10월 27일로 예상됐다.
이 조치가 중요한 이유는 해당 루트 인증서에 연결되는 일부 정상 인증서도 Chrome에서 더 이상 작동하지 않기 때문이다. Google은 영향을 받는 웹사이트 운영자가 Google의 루트 저장소에 포함된 다른 인증 체계의 TLS 인증서를 발급받아 설치해야 한다고 밝혔으며, eMudhra는 가입자의 이전을 지원하기로 약속했다고 덧붙였다.
Google은 eMudhra의 나머지 인증기관을 Chrome Root Store에 계속 포함해야 하는지도 조사 중이라고 밝혔다. 해당 검토는 진행 중이었으며, eMudhra 인증기관 전체를 제거하기로 결정된 것은 아니었다.
결론
즉각적인 인증서 차단으로 알려진 취약 키에 대한 조치는 이뤄졌지만, 더 광범위한 시정 조치는 계속 진행 중이었다. 다음 예정 단계는 10월 27일 시작되는 Chrome의 루트 인증서 제거 배포였으며, 제거 대상 루트 인증서에 연결된 인증서를 교체하지 않은 정상 사이트가 영향을 받을 수 있었다.
더 많은 뉴스 읽기
면책 조항
이 FinanceVelix 기사는 일반적인 정보를 제공하며 개인별 금융, 투자, 법률 또는 세무 자문이 아닙니다. 시장 가격, 금리 및 경제 상황은 변할 수 있으며 투자에는 손실 위험이 따릅니다. 사실관계는 게시 당시 이용 가능한 자료를 반영하며 이후 바뀔 수 있습니다. 중요한 정보는 독립적으로 확인하고 필요한 경우 자격을 갖춘 전문가와 상담하세요. 자산, 회사 또는 서비스를 언급했다고 해서 이를 추천하는 것은 아닙니다.
