eMudhra to Exit global SSL/TLS Certificate Business
eMudhra, 글로벌 SSL/TLS 인증서 사업 철수
eMudhra가 최근 CA 사고 이후 글로벌 SSL/TLS 인증서 사업에서 자발적으로 철수한다고 발표했습니다. 전환이 끝날 때까지 기존 루트와 인증서 상태 확인 서비스를 유지하고, 영향을 받은 고객에게 파트너를 통해 무료 교체 인증서를 제공하겠다고 밝혔습니다.
- 주제
에디터 노트
이번 철수의 직접적인 의미는 고객 전환과 신뢰 복구가 회사의 남은 과제가 됐다는 점입니다. eMudhra는 발견 후 14시간 안에 영향을 받은 CA를 폐기했고 최종 사용자 인증서는 발급하지 않았다고 주장하지만, 보도자료에는 사고 원인이나 CA가 발급할 수 있었던 인증서 범위가 담기지 않았습니다. Hacker News에서는 매출 1%라는 설명이 폐기 대응에 필요한 기술적 부담을 축소한다는 반응과, CA를 신뢰에서 제거할 준비를 하지 않은 시스템에도 책임이 있다는 반론이 나왔습니다. 댓글에서 제기된 인증서 6천만 개 수치는 검증되지 않았으며 발급 수만으로 영향 규모를 단정하기 어렵다는 지적도 있습니다. 따라서 회사가 약속한 무료 교체와 상태 확인 서비스의 종료 조건, 원인 분석 보고서가 실제 전환의 범위를 판단할 근거가 됩니다.
AI 요약
eMudhra가 2026년 10월 22일 글로벌 SSL/TLS 인증서 사업에서 철수하겠다고 발표했습니다. 회사는 최근 발생한 CA 관련 사고를 계기로 이사회가 철수를 결정했다고 밝혔습니다. 영향을 받은 CA는 발견 후 14시간 안에 폐기했으며, 해당 CA에서 최종 사용자 인증서를 발급하지 않았고 인프라 침해나 데이터 유출도 없었다는 설명입니다. 이는 회사 발표 내용이며, 자료에는 사고의 구체적인 원인이나 영향을 받은 CA의 범위가 나오지 않습니다.
철수 배경과 고객 전환
회사는 글로벌 매출 중 SSL/TLS 사업 비중이 약 1%라고 밝혔습니다. 데이터 주권과 규제 준수 요건이 늘면서 운영 복잡도와 비용이 커졌고, 일부 대형 업체가 인증서를 무료로 제공해 사업 수익성이 낮아졌다는 설명입니다. 전환이 끝날 때까지 G1 RSA 루트를 유지하고 브라우저 프로그램 및 고객과 전환 작업을 진행합니다. 영향을 받은 고객에게 파트너를 통해 인증서를 무료로 교체해 주며, 이미 발급한 인증서가 만료되거나 교체될 때까지 폐기 및 인증서 상태 확인 서비스도 운영하겠다고 했습니다. 브라우저 루트 프로그램에 남은 의무를 이행하고 전체 원인 분석 보고서도 제출할 예정입니다.
다른 사업과 Hacker News 반응
회사는 글로벌 SSL/TLS 인프라가 다른 사업과 분리돼 있다며 디지털 서명 인증서(DSC), eSign, 기업용 PKI, CertiNext, emSigner, SecurePass 등의 운영은 영향을 받지 않는다고 밝혔습니다.
- @g_a_a_s — "이번 사고가 회사에서 SSL/TLS가 차지하는 비중에 비해 지나치게 크게 확산됐다"는 말은 정신이 약한 변명 같습니다. 실수했다고 인정하고 끝내면 됩니다.
- @ritzaco — 동의합니다. 과도한 관심을 받을 만한 일을 했습니다.
- @prodigycorp — 동의하지 않습니다. 약한 대응은 모두에게 이익이 되지 않습니다. 저는 용기 있는 결정이라고 봅니다.
- @tetha — SSL/TLS가 매출의 1%에 불과하다는 대목을 보니, 전 세계에서 인증서 폐기 문제를 해결하느라 수천 시간의 엔지니어링 작업이 들어가겠네요. 여러 기술 스택은 런타임을 업그레이드해야 하고 Python의 certifi도 복잡합니다. 하지만 네, 매출의 1%일 뿐이군요. 긴 한 주였습니다.
- @mixdup — 지적은 이해하지만, 신뢰가 깨진 CA를 처리할 준비가 안 된 시스템에도 어느 정도 책임이 있습니다. CA에 문제가 생길 가능성은 언제나 있습니다. 신뢰하는 CA의 신뢰를 철회할 준비가 없다면 그건 각 시스템의 문제입니다.
- @trimbo — "영향을 받은 CA에서 최종 사용자 인증서를 발급하지 않았다"는 표현은 기술에 익숙하지 않은 독자에게 핵심을 흐릴 수 있는 홍보 문구입니다.
- @rahimnathwani — 누구나 영향을 받은 CA를 이용해 인증서를 발급할 수 있는데, "영향을 받은 CA에서 최종 사용자 인증서를 발급하지 않았다"는 말은 이상합니다.
- @shrubble — 그동안 얼마나 벌었나요? SSL 인증서 6천만 개를 발급했다는 말이 사실인가요? 확인하지는 못했습니다.
- @Reubachi — 리프 인증서 발급 수만으로는 보급 범위나 사용자 영향, 매출을 판단하기 어렵습니다. 6천만 개 중 상당수가 짧은 유효기간이거나 같은 개인 키와 CSR로 중복 발급됐을 수 있습니다. 사설 루트나 중간 CA 발급까지 포함했는지도 확실하지 않습니다.
원문: eMudhra 보도자료 / 번역·요약: Trawling