eMudhra apologises after weak security keys put eight digital certificate authorities at risk
취약한 키로 인증기관 8곳 위험에 빠뜨린 eMudhra, 사과
eMudhra의 스크립트 오류로 중간 인증기관 8곳의 개인 키를 쉽게 추측할 수 있는 문제가 드러났습니다. 회사는 해당 인증서를 폐기했으며, 고객 데이터 침해나 공개 신뢰 인증서 발급의 증거는 찾지 못했다고 밝혔습니다.
- 주제
에디터 노트
키 공간이 3~8비트였다는 보도 내용은 단순한 설정 실수보다 키 생성과 검증 절차의 실패가 얼마나 직접적인 위험으로 이어지는지 보여줍니다. eMudhra는 8개 인증기관을 폐기했고 브라우저와 Cloudflare도 차단 조치를 했습니다. 회사 조사에서 공개 신뢰 인증서 발급이나 고객 데이터 침해 증거를 찾지 못했다는 점은 피해 범위를 제한하지만, 실제 악용 여부와 기존 검사가 실패한 이유는 아직 상세 보고서로 확인되지 않았습니다. 예정된 CCADB 공개와 독립 검토가 이 공백을 설명해야 합니다.
AI 요약
eMudhra의 키 생성 과정에서 발생한 스크립트 오류로 중간 인증기관(Intermediate CA) 8곳의 개인 키를 복구할 수 있는 취약점이 생겼습니다. 보안 연구원 Wayne은 10월 17일 문제를 알렸으며, 보도에 따르면 각 키의 유효 키 공간은 3~8비트에 불과했습니다. 공격자가 중간 인증기관의 키를 얻으면 권한과 신뢰 범위에 따라 가짜 웹사이트 인증서를 발급할 수 있습니다.
취약점 대응과 영향 범위
문제가 된 인증기관은 2025년 4월 공개 신뢰 인증서 기반 시설의 키 생성 작업 중 만들어졌습니다. eMudhra는 문제를 확인한 뒤 14시간 안에 해당 인증서를 폐기하고 브라우저 개발사 및 신뢰 목록 운영기관과 대응했습니다. Chrome, Firefox, Safari, Edge는 10월 20일까지 해당 인증서를 차단했습니다. Cloudflare도 위험을 확인하고 WARP, 1.1.1.1, cloudflared를 갱신했으며, 자사 서비스에서 실제 악용 흔적은 찾지 못했다고 밝혔습니다.
eMudhra는 조사 결과 해당 인증기관이 공개적으로 신뢰받는 웹사이트 인증서를 발급한 증거와 시스템 또는 고객 데이터가 침해된 증거를 찾지 못했다고 밝혔습니다. 루트 인증기관 키와 다른 중간 인증기관은 영향을 받지 않았으며, 인도 국내외 전자서명·eSign 서비스와 기업용 애플리케이션도 별도 기반 시설을 사용해 영향이 없었다고 설명했습니다. TLS 서비스를 이용하는 고객에게는 비용 없이 인증서를 교체하고, Common CA Database(CCADB) 절차를 통해 상세 조사 결과를 공개하며 독립 전문가 검토도 진행할 계획입니다.
원문: CNBC TV18 / 번역·요약: Trawling