Lobsters

Indian government sites are serving revoked eMudhra certificates

인도 정부 사이트 156곳, 폐기된 eMudhra 인증서 계속 사용

eMudhra 인증서 폐기 뒤에도 인도 정부 사이트 156곳이 폐기된 TLS 인증서를 계속 제공했다고 글쓴이가 조사했습니다. 브라우저마다 폐기 확인 방식이 달라 접속 차단 여부도 다르며, 별도로 키 노출 사고의 영향으로 emSign G3 루트 인증서 신뢰가 중단돼 약 3만 건의 인증서를 교체해야 합니다.

에디터 노트

이번 사례에서 가장 분명한 문제는 폐기 정보가 존재해도 이용자에게 같은 결과를 보장하지 않는다는 점입니다. 156개 사이트는 CRL에 올라 있었지만 Chrome 계열은 CRLSet에 항목이 없어 열렸고 Firefox와 일부 iOS Safari는 차단했습니다. 폐기 목록 작성과 배포, 웹사이트 인증서 교체가 서로 다른 운영 단계라는 점이 드러납니다. 글쓴이는 결함 키의 생성 시점과 브라우저별 검사 결과를 근거로 MeitY의 "매우 짧은 기간, 제한된 영향"이라는 설명을 반박합니다. 다만 3만 건은 eMudhra의 추산이며 미국 대학이 대부분이라는 판단도 글쓴이가 확인한 범위입니다. 댓글은 회사의 대응을 재난 수준의 실패로 비판하지만, 실제 가입자 통지 여부는 원문에서도 확인하지 못했습니다. 관측된 사이트 수와 브라우저 동작은 구체적이지만 사고 전체의 영향 규모와 교체 진행 상황은 별도 근거가 더해져야 판단할 수 있습니다.

AI 요약

eMudhra의 인증서 폐기와 브라우저 신뢰 처리 차이를 조사한 결과, 2026년 10월 23일 기준 인도 정부 웹사이트 156곳이 폐기된 TLS 인증서를 계속 제공하고 있었습니다. 글쓴이는 정부 발표의 영향 기간과 범위가 실제 상황을 축소했다고 주장합니다.

인증서 사고와 신뢰 중단

10월 17일 emSign ECC Root CA - G3에 연결되는 eMudhra 중간 인증기관 8곳에서 개인 키를 쉽게 복구할 수 있는 결함이 발견됐고, 다음 날 해당 인증기관들이 폐기됐습니다. Mozilla와 Chrome은 이후 G3 루트 인증서 전체를 신뢰하지 않기로 했습니다. 글쓴이는 결함 키가 2025년 4월 생성돼 보고 시점까지 18개월 동안 복구 가능했다고 지적합니다. 취약 중간 인증기관 자체가 발급한 인증서는 많지 않지만, eMudhra는 영향을 받지 않은 G3 중간 인증기관이 발급한 인증서 약 3만 건도 교체해야 한다고 추산합니다. 글쓴이가 확인한 바로는 그 대부분이 InCommon을 통해 eMudhra를 이용하는 미국 대학에 속한 것으로 보입니다.

이와 별도로 eMudhra는 10월 19일 emSign Root CA - G1의 RSA 계층에서 인증서 9,356개를 "Superseded" 사유로 폐기했습니다. 이 묶음은 eMudhra의 CP/CPS가 요구하는 인증서 유형 정책 OID가 빠진 미만료 인증서와 일치합니다. 인도 정부 사이트에서 계속 제공한 인증서는 이 폐기 조치에 포함된 인증서입니다.

정부 사이트 조사와 브라우저별 차이

글쓴이는 인도 정부 웹사이트 디렉터리 IGOD의 호스트 8,947개를 확인해 156곳에서 폐기된 인증서를 찾았습니다. 그중 STPI, Bhashini, UIDAI, 인도 인증기관 감독기구인 Controller of Certifying Authorities 등 MeitY 산하 기관도 포함됐습니다. 해당 인증서들은 10월 19일 15시 34분부터 15시 49분 사이에 폐기됐으며 eMudhra의 DV/G2A-1, OV/G2A-1, EV/G2A-1 및 G1 인증서 폐기 목록(CRL)에 올라 있습니다.

폐기 인증서 차단 여부는 브라우저마다 달랐습니다. Firefox는 CRLite로 폐기 정보를 확인해 접속을 거부했습니다. 글쓴이가 10월 24일 기준 Chrome CRLSet 버전 10856을 확인했을 때, 해당 인증서와 DV/G2A-1 폐기 목록의 6,235개 항목은 포함되지 않았습니다. 따라서 Chrome, Edge, Android에서는 사이트가 열렸습니다. iOS Safari는 EV 인증서에만 OCSP를 확인하며, 목록 중 EV 인증서가 있는 사이트는 www.isea.gov.in과 nfscnagpur.nic.in 두 곳입니다. emSign OCSP 응답기가 isea.gov.in 인증서를 폐기된 것으로 응답해 iOS Safari는 해당 사이트 접속을 막았습니다. SSL Labs는 CRL을 직접 확인해 대상 인증서 모두에 F 등급과 폐기 표시를 했습니다.

글쓴이는 인증서 폐기 때 가입자에게 새 인증서를 받도록 알리는 일이 일반적이라고 설명하지만, eMudhra가 실제로 알림을 보냈는지는 확인하지 못했다고 밝혔습니다. 게시물에는 도메인, 인증서 일련번호, 폐기 시각과 교체 여부를 기록한 목록이 있으며 교체 상황에 따라 갱신할 예정입니다.

Lobsters 반응

  • @adityaathalye — 이 회사의 범죄 수준 무능이 국제적 재난을 단번에 일으켰고 지금도 모두를 계속 실망시키고 있습니다. 시민으로서 말하자면, 잠시 "소셜 미디어에서 이 일을 키우는 그 빌어먹을 외국인들"은 무시하고, 이 사람들이 굽실거리는 이념적인 "국가 안보" 수사를 잠시 생각해도, 왜 이 문제를 해결하려고 선제적으로 가능한 모든 조치를 취하지 않았습니까? 국가 재난 수준의 비상 대응으로 다뤄야 합니다.
원문 보기 ↗토론 보기 ↗