인도 인증기관 eMudhra의 서명 키 8개가 유출되면서 브라우저의 보호 조치와 웹사이트 및 거래 도구를 뒷받침하는 소프트웨어 사이의 취약점이 드러났다. 10월 21일 현재 주요 브라우저 업체들은 영향을 받은 인증서를 차단했지만, 인증서 폐기 여부를 확인하지 않는 일부 비브라우저 프로그램은 여전히 위조된 자격 증명을 받아들일 수 있었다.
핵심 요점
- 연구진은 신뢰할 수 있는 웹사이트를 사칭하는 인증서에 서명하는 데 악용될 수 있는 취약한 개인 키 8개를 복구했다.
- 브라우저 업체들은 영향을 받은 인증서를 차단했지만, 폐기 여부를 확인하지 않는 소프트웨어는 인증서 폐기만으로 보호되지 않는다.
- 암호화폐 공격은 보고되지 않았으며, 우려는 인터넷 전반에 걸쳐 사용되는 구식 소프트웨어로 확대된다.
목차
eMudhra 키 유출이 남긴 취약점
중요한 차이는 인증서를 폐기하는 것과 소프트웨어가 해당 인증서를 신뢰하지 않도록 하는 것 사이에 있다. eMudhra는 영향을 받은 인증서를 폐기했지만, 보안 연구원 스콧 헬메는 폐기 상태를 확인하지 않는 프로그램에는 이 조치가 아무런 보호도 제공하지 않는다고 경고했다.
헬메는 테스트 결과 curl, Python, Node, Go, Java가 Stripe API를 대상으로 한 위조 인증서를 받아들였다고 밝혔다. 이는 인증서가 받아들여지는 것을 시연한 것이며 Stripe가 침해당했다는 증거는 아니다.
위조 인증서는 네트워크에서 트래픽을 가로채는 공격자가 신뢰받는 서비스를 사칭해 통신을 읽거나 변경할 수 있게 한다. 브라우저 차단은 보호 대상 브라우저에서 이 경로를 차단하지만, 별도의 모든 애플리케이션이나 백엔드에도 동등한 보호 조치가 적용됐음을 보장하지는 않는다.
| 항목 | 세부 내용 |
|---|---|
| Mozilla 및 Chrome | 두 업체 모두 10월 17일 영향을 받은 인증서를 차단했다. Mozilla의 차단은 제보 후 약 3시간 만에 이뤄졌다. |
| Apple | 10월 19일 대응 조치를 했다. |
| Microsoft | 10월 20일 대응 조치를 했다. |
| 인증서 폐기 | eMudhra는 영향을 받은 인증서를 폐기했지만, 이 조치가 효과를 내려면 소프트웨어가 폐기 여부를 확인해야 한다. |
| 사용 가능한 비브라우저용 수정 사항 | Go, Python의 certifi 패키지, Rust의 webpki-roots에 대한 수정 사항이 제공됐다. |
| Node.js | 10월 21일 현재 수정 사항은 아직 나오지 않았다. |
사용자에게 적용된 보호 조치는?
10월 17일 웨인이라는 연구원이 브라우저 업체들에 알린 뒤 대응이 시작됐다. 그는 유출된 키 8개를 모두 사용해 경고문에 디지털 서명을 하는 방식으로 해당 키를 통제할 수 있음을 시연했다. 수정 사항이 제공됐다고 해서 모든 설치 환경이 업데이트됐다는 뜻은 아니다.
취약한 키가 웹사이트 인증을 무력화한 방식
인증기관은 브라우저가 웹사이트의 신원을 확인하는 데 사용하는 자격 증명을 제공한다. 따라서 인증기관의 개인 서명 키는 일반 웹사이트 비밀번호와는 다른 책임을 지닌다. 서명 키가 유출되면 다른 사이트의 인증서를 진짜처럼 만들어내는 데 악용될 수 있다.
헬메는 공개 인증서에서 1초도 안 돼 키 8개를 모두 복구했다고 밝혔다. 그가 확인한 개인 키 값에는 4와 56이 포함돼 있었으며, 이는 키를 얼마나 쉽게 복구할 수 있었는지를 보여준다. 그는 해당 키가 2025년 4월부터 노출돼 있었다고 말했다.
헬메가 Mozilla 버그 티켓을 검토한 바에 따르면, eMudhra는 키 설정 스크립트의 버그를 원인으로 지목했다.
거래 소프트웨어에 별도의 대응이 필요한 이유
암호화폐 사용자에게 관련 취약점은 브라우저에서 거래소를 여는 경우에만 국한되지 않는다. 거래소 봇, 거래 스크립트, 지갑 백엔드도 영향을 받은 비브라우저 소프트웨어에 의존할 수 있다. 이론적으로 위조된 거래소 API 인증서는 같은 네트워크에 있는 공격자가 봇의 트래픽을 가로채거나 변경할 수 있게 한다.
암호화폐 공격은 보고되지 않았다. Polygon Labs의 최고기술책임자 무딧 굽타는 이 취약점이 암호화폐에 특화된 문제가 아니라 일반적인 소프트웨어 보안 문제이며, 구식이거나 패치되지 않은 소프트웨어가 특히 우려된다고 말했다. 그는 지갑과 거래 도구, 기기를 최신 상태로 유지하는 사용자들은 위험이 더 낮다고 밝혔다.
결론
브라우저의 대응으로 인증서 사칭의 직접적인 경로는 차단됐지만, 더 광범위한 소프트웨어 문제까지 해결된 것은 아니다. 남은 취약점은 발급기관이 인증서를 폐기했는지가 아니라 개별 도구가 유출된 자격 증명을 거부하는지에 달려 있다.
더 많은 뉴스 읽기
면책 조항
이 FinanceVelix 기사는 일반적인 정보 제공을 목적으로 하며, 개인별 금융·투자·법률·세무 자문을 제공하지 않습니다. 시장 가격, 금리 및 경제 여건은 변할 수 있으며 투자에는 손실 위험이 따릅니다. 사실관계는 게시 당시 이용 가능한 자료를 반영하며 이후 변경될 수 있습니다. 중요한 정보는 독립적으로 확인하고 필요한 경우 자격을 갖춘 전문가와 상담하십시오. 자산, 회사 또는 서비스에 대한 언급은 추천을 의미하지 않습니다.
