eMudhra 인증서 폐기 뒤에도 남은 신뢰의 공백
eMudhra는 취약한 중간 인증기관 8곳의 인증서를 폐기하고 고객 데이터 침해 증거가 없다고 밝혔지만, 키 생성·검증 과정의 상세 원인은 조사 중입니다. 별도로 인도 정부 사이트 조사에서는 다른 RSA 인증서 폐기 뒤에도 구형 인증서를 제공하는 사례가 확인됐고, Apple 개발 도구가 취약 인증서를 신뢰한다는 주장도 제기됐습니다. 서로 다른 인증서 문제와 클라이언트별 대응을 구분해 살펴봅니다.
키 결함과 회사가 밝힌 대응
‘취약한 키로 인증기관 8곳 위험에 빠뜨린 eMudhra, 사과’에 따르면 eMudhra는 2025년 4월 생성된 중간 인증기관 8곳의 개인 키가 스크립트 오류로 복구 가능해진 사실을 인정하고 사과했습니다. 회사는 문제를 확인한 뒤 14시간 이내에 해당 인증기관 인증서를 폐기했으며, 조사에서 해당 기관들이 공개적으로 신뢰되는 웹사이트 인증서를 발급했거나 시스템·고객 데이터가 침해됐다는 증거를 찾지 못했다고 밝혔습니다. 이는 회사의 조사 결과와 설명이며, 위험 자체가 없었다는 의미는 아닙니다.
‘웹 PKI 역사상 가장 난처한 개인 키 사고’는 공개 인증서의 키에서 작은 후보값을 대조해 개인 키를 빠르게 찾을 수 있었다고 설명합니다. 다만 이 글도 정확한 근본 원인은 아직 확정되지 않았다고 단서를 둡니다. 글이 공개된 설명을 바탕으로 제시한 실패 경로는 키 생성 결함에 그치지 않고, 약한 키와 정상 키가 함께 만들어진 뒤 인증서 서명 요청에서 잘못된 키가 선택되고 이를 걸러낼 독립 검증이 없었던 과정입니다. 따라서 공개된 설명만으로 내부 절차의 모든 세부를 확정할 수는 없습니다.
폐기된 인증서가 사이트에 남은 별도 사례
‘인도 정부 사이트 156곳, 폐기된 eMudhra 인증서 계속 사용’이 다룬 대규모 잔존 사례는 앞서의 키 노출 인증서와 구분해야 합니다. 이 글은 eMudhra가 10월 19일 폐기한 RSA 계층의 9,356개 인증서를 다루며, 작성자는 이 묶음이 인증서 정책 OID 누락과 관련된 별도 문제라고 설명합니다. 10월 24일 업데이트에서 인도 정부 도메인 1,366개가 이 폐기 인증서를 사용하고 있었고, 그중 773개가 여전히 해당 인증서를 제공한다고 집계했습니다. 이는 폐기 조치가 모든 사이트의 인증서 교체를 곧바로 보장하지 않았음을 보여주지만, 키 노출 사고가 이 사이트들에 직접 원인이었다는 뜻은 아닙니다.
같은 조사에서 인증서 폐기 여부가 브라우저마다 다르게 반영됐습니다. 작성자에 따르면 Firefox는 CRLite를 통해 해당 폐기를 반영해 접속을 거부했지만, 조사 시점의 Chrome CRLSet에는 대상 인증서가 없어 Chrome·Edge·Android에서는 접속이 가능했습니다. iOS Safari도 일반적으로 OCSP를 확인하지 않아 차이가 있었고, 조사에 언급된 두 EV 인증서 가운데 하나는 OCSP 응답 때문에 차단됐습니다. 따라서 ‘폐기됐다’는 사실만으로 모든 클라이언트가 같은 방식으로 차단한다고 볼 수 없습니다.
브라우저 밖의 클라이언트도 확인해야 하는 이유
‘Apple의 Git은 여전히 손상된 eMudhra 인증서를 신뢰합니다’의 작성자는 10월 28일 기준 macOS에 포함된 Git·curl·Python이 손상된 인증서를 계속 신뢰했고, 10월 26일 배포된 macOS 27.2도 문제를 고치지 않았다고 주장합니다. 글은 테스트 서버를 이용한 확인 방법과 수동 우회 방법을 제시하지만, 이 내용은 해당 사이트 작성자의 보고로 귀속해야 하며 독립적으로 검증된 사실로 일반화할 수는 없습니다. 반면 eMudhra 회사 설명은 디지털 서명·eSign 서비스가 별도 인프라를 사용해 영향을 받지 않았다고 했습니다. 두 주장은 서로 다른 시스템 범위를 다루므로, 한쪽만으로 다른 쪽의 범위를 판정할 수 없습니다.
세 자료를 함께 보면 인증서 폐기, 웹 브라우저의 차단, 각 운영체제와 개발 도구의 신뢰 저장소 갱신은 별개의 단계입니다. 키 생성 사고에 관한 설명은 폐기만으로 위험이 모두 해소된다고 단정하기 어렵다고 강조하고, 정부 사이트 조사와 Apple 도구에 관한 주장은 실제 클라이언트별 반영 여부를 따로 확인해야 함을 보여줍니다. 다만 정부 사이트 조사 대상은 키 노출과 다른 RSA 인증서 폐기 사례이며, Apple 도구에 관한 내용은 원문 작성자의 주장이라는 범위를 유지해야 합니다.