eMudhra faces a bigger test of public trust after security lapse -- eMudhra co-founder Kaushik Srinivasan interviewed by The Economic Times
보안 사고 뒤 신뢰 회복 시험대에 오른 eMudhra, 공동창업자 인터뷰
eMudhra의 인증서 사업에서 약한 개인 키가 18개월가량 탐지되지 않아 브라우저 업체들이 관련 인증서를 차단했습니다. 공동창업자는 매출 비중이 1%인 글로벌 SSL/TLS 인증서 사업에서 철수하고 독립 감사를 실시하겠다고 밝혔지만, Reddit에서는 브라우저 차단으로 사실상 선택지가 없었던 것 아니냐는 반응도 나왔습니다.
- 주제
에디터 노트
쟁점은 사업 철수가 자발적 경영 판단이었는지보다, 두 차례 외부 감사와 18개월의 운영 기간에도 약한 키를 찾지 못한 통제 실패가 어떻게 재발 방지로 이어지는지입니다. 공동창업자는 추가 계산 검사가 필요했다고 인정했고 전체 암호화 자산을 독립적으로 감사하겠다고 약속했습니다. 공개될 감사 결과가 실제 절차와 기록을 다루는 만큼, 신뢰 회복 여부는 약속보다 그 결과에 달려 있습니다. 매출 비중 1%와 인도 전자서명 서비스의 별도 인프라는 사업상 영향을 설명하지만 인증서 사고의 기술적 위험을 줄이지는 않습니다. 원문은 브라우저가 관련 인증서를 차단했다고 전하면서도 이사회 결정은 브라우저의 신뢰 철회 때문이 아니었다는 회사 측 설명을 함께 싣습니다. Reddit에서는 이미 블랙리스트에 올랐으니 선택의 여지가 없었다는 반론이 나왔지만, 댓글만으로 G1 루트의 신뢰 상태를 확인할 수는 없습니다. 사업 철수의 동기와 인증서 신뢰 상태는 구분해 읽어야 합니다.
AI 요약
eMudhra의 글로벌 웹사이트 인증서 사업에서 8개 인증기관(CA)과 관련한 약한 개인 키가 발견됐습니다. 익명 연구자 Wayne이 문제를 알리기 전까지 약 18개월 동안 취약점이 남았고, 두 차례 외부 감사에서도 발견되지 않았습니다. Google Chrome과 Mozilla Firefox는 관련 인증서를 차단했습니다.
취약점과 영향
공동창업자 Kaushik Srinivasan은 스크립트 오류와 사람의 검토 누락으로 약한 암호화 키가 생성됐다고 인정했습니다. 기존 접근 권한과 승인 절차는 지켰지만, 취약점을 찾으려면 추가 계산 검사를 실행했어야 한다고 설명했습니다. Mozilla는 공격자가 키를 알아내고 해당 인증서를 여전히 신뢰하는 소프트웨어를 대상으로 삼으면 웹사이트를 사칭할 수 있다고 경고했습니다. 사용자의 연결을 가로챌 수 있는 경우 통신을 읽거나 바꿀 위험도 있습니다.
Srinivasan은 고객 데이터 유출은 없었으며 인도의 전자서명(eSign) 서비스는 별도 인프라에서 운영돼 영향을 받지 않았다고 주장했습니다. 이 서비스의 주요 고객에게 각각 운영 상황을 설명했다고도 밝혔습니다.
사업 철수와 감사 계획
회사는 글로벌 SSL/TLS 인증서 사업을 자발적으로 종료하기로 했습니다. Srinivasan은 해당 사업의 매출 비중이 1%였으며, 이사회가 경쟁 환경과 투자 대비 수익을 고려해 철수를 결정했다고 말했습니다. 브라우저가 회사의 G1 루트 인증서를 더는 신뢰하지 않게 될 상황이어서 내린 결정은 아니라고 주장했습니다. G1은 브라우저가 eMudhra의 웹사이트 인증서를 검증할 때 신뢰하는 최상위 인증서입니다.
회사는 독립 감사인을 선임해 사고 경위와 절차, 기록을 조사하고 전체 암호화 자산도 검토할 계획입니다. 감사 결과를 공개하겠다고 약속했습니다. 신용평가사 ICRA는 10월 23일 갱신 자료에서 사업 철수와 매출 기여도가 낮다는 점을 언급하면서도 eMudhra의 신용등급을 유지했습니다.
AI와 지속 점검
Srinivasan은 AI가 공격자가 취약점을 찾는 방식과 공격 표면을 바꾸고 있다고 말했습니다. 그는 키 생성부터 사용과 검증까지 각 단계에 AI 기반 검사를 적용하고, 독립 감사와 내부 보안 테스트를 병행해야 한다고 제안했습니다.
Reddit 반응
- @kettal — 평판이 전부인 업계에 계시잖아요. 죄송하지만 이제 문을 닫을 때입니다.
- @diazeriksen07 — 형편없는 기사입니다. 문단마다 마진이 낮아서 자발적으로 CA 사업을 접었다는 말만 반복합니다.
- @picastchio — 모든 운영체제와 브라우저가 이들을 블랙리스트에 올렸습니다. 선택의 여지가 없었습니다.
- @torsten_dev — 문제가 있는 키만 폐기됐습니다. 잘못을 인정하고 대응했다면 이 일을 만회할 수 있었겠지만, 철수는 합리적인 선택입니다. 사후 분석을 발표하고 이 일을 마무리하면 좋겠습니다. 실수에서 배우고 가르치면 됩니다.
- @CoffeeToCode99 — 매출의 1%였으니 끝없는 홍보 악몽을 감당하느니 글로벌 인증서 시장에서 빠지는 건 쉬운 선택이었겠죠. 키가 '4'처럼 단순한 값으로 생성됐는데 1년 반 동안 아무도 알아채지 못했다니 여전히 믿기 어렵습니다. 공동창업자가 ET와 인터뷰한 건 잘했지만 기업 고객의 신뢰를 되찾기는 매우 힘들 겁니다.
원문: The Economic Times / 번역·요약: Trawling