Apple의 Git은 여전히 손상된 eMudhra 인증서를 신뢰합니다

원문은 eMudhra 인증서 사고가 Apple에 통보된 뒤에도 macOS의 Git, curl, Python 3가 영향을 받은 인증서를 신뢰한다고 주장합니다. 수동 우회 조치도 macOS 27.2 업데이트에서 되돌아갔다며, HTTPS 통신의 가로채기 위험과 점검 방법을 안내합니다.

주제: 보안 개발 도구 Apple

에디터 노트

문제의 범위는 Safari와 macOS 개발 도구를 구분하는 데 있습니다. 원문은 Safari와 Apple 네트워킹 프레임워크 기반 앱은 보호됐지만 Git, curl, Python 3는 손상된 인증서를 신뢰한다고 주장합니다. 수동으로 인증서를 제거해도 업데이트가 변경을 되돌릴 수 있다는 설명은 반복 점검이 필요한 이유를 구체적으로 보여줍니다. 다만 원문은 영향받는 인증서의 식별자나 독립적인 검증 자료를 제시하지 않습니다. 따라서 영향 범위와 위험은 원문이 제시한 주장으로 읽어야 합니다. 댓글은 시험 서비스를 마련한 데 대한 감사와 Apple을 비꼬는 반응을 보였고, 공식 입장을 다룬 별도 토론도 연결했지만 기술적 반박이나 검증 결과는 담지 않았습니다.

AI 요약

원문은 10월 17일 Apple에 eMudhra 인증서 사고를 알렸지만, 10월 28일 현재 macOS에 포함된 Git, curl, Python 3가 손상된 인증서를 여전히 신뢰한다고 주장합니다. 10월 26일 배포된 macOS 27.2도 문제를 해결하지 않았으며, 사용자가 수동으로 적용한 우회 조치까지 되돌렸다고 설명합니다. 원문은 여러 다른 프로젝트가 이미 며칠 전 수정 사항을 배포했다고 덧붙입니다.

영향을 받는 통신

원문에 따르면 공격자는 네트워크 경로에서 HTTPS 연결을 가로채 트래픽을 바꿀 수 있습니다. Git의 경우 HTTPS 원격 저장소에서 코드를 가져오거나 푸시하는 과정이 변조될 수 있고, GitHub 토큰 같은 인증 정보도 노출될 수 있다고 설명합니다. curl과 Python 3 등 Apple이 제공하는 다른 개발 도구도 같은 방식으로 영향을 받는다고 주장합니다. 반면 Safari와 Apple 네트워킹 프레임워크를 사용하는 앱은 이미 보호됐다고 원문은 전합니다.

점검과 임시 조치

원문은 제공한 점검용 HTTPS 주소에 Git 또는 curl로 접속해 인증서 오류가 발생하는지 확인하라고 안내합니다. Git 점검에서 저장소 정보가 출력되면 해당 Git이 영향을 받으며, 인증서 오류가 나면 보호된 상태라고 설명합니다. 별도의 재현 예시는 한 번의 Git 명령에만 DNS 해석 대상 주소를 지정해 테스트 서버로 연결하고, 손상된 eMudhra 중간 인증서가 발급한 github.com 인증서를 제시합니다. 복제에 성공하면 README.md가 INTERCEPTED 문구로 시작한다고 합니다. 이 데모에는 실제 GitHub 계정 정보를 보내지 않도록 fake-user@ 접두사를 사용하라고 강조합니다.

원문은 영향을 받은 루트 인증서를 /etc/ssl/cert.pem에서 수동으로 제거하는 방법을 임시 해결책으로 제안합니다. Apple 안내에 따르면 macOS 업데이트가 이 변경을 되돌릴 수 있으므로, Apple이 수정 사항을 배포할 때까지 업데이트 후 점검과 조치를 반복해야 한다고 설명합니다. 보안팀에는 macOS 실행기를 CI나 빌드 인프라에서 사용하는지 확인하고 공급망 위험을 평가하라고 권합니다.

Lobsters 반응

@FedericoSchonborn — 시가총액 1조 달러짜리 작은 회사에 너무 많은 걸 기대하는군요.
@hoistbypetard — 한 줄로 시험해 볼 수 있는 서비스를 운영해 주셔서 감사합니다.
@gerikson — 이 사안에 관한 Apple의 공식 입장 토론 링크를 공유했습니다.

원문: https://emudhra.we-have-a-problem.com/apple.html / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗