인도 CA 기관 eMudhra에서 개인키 생성 취약점이 폭로되어 전 세계 브라우저가 중간자 공격 방지를 위해 긴급 차단에 나섰다.

BlockBeats 소식, 10월 21일, 글로벌 사이버 보안 업계의 높은 관심을 불러일으킨 인증기관(CA) 보안 사건이 폭로되었다. 인도 CA 기관 eMudhra가 발급한 8개의 중간 인증서 개인키에 극히 심각한 생성 결함이 존재한다는 사실이 보안 연구원들에 의해 발견되었다. 본래 매우 높은 보안 강도를 가져야 할 이 개인키들은 구현 오류로 인해 실제 유효 정보가 극히 작은 정수(예: 4, 56, 66 등)에 불과하여, 보안 인력이 1초 이내에 완전히 크랙할 수 있게 되었다. 이 취약점으로 인해 본래 네트워크 통신 보안을 보장하던 신뢰의 초석이 무용지물이 되었다.

중간 인증서는 HTTPS 암호화 신뢰 체인의 핵심 고리로, 개인키가 쉽게 획득될 경우 공격자는 이를 이용해 신뢰받는 HTTPS 인증서를 위조하여 은행, 이메일 또는 모든 신뢰받는 웹사이트를 대상으로 중간자 공격을 감행하고 사용자의 통신 데이터를 가로채거나 변조 또는 탈취할 수 있다. 이 사건의 근원은 외부 해커의 악의적 침입이 아니라 eMudhra가 인증서 생성 단계에서 범한 재앙적인 구현 오류로, 보안성이 거의 제로에 가까운 개인키를 생산한 것이다.

사건 폭로 후 글로벌 주요 브라우저 및 소프트웨어 제조사들은 신속히 긴급 방어 조치를 취했다. Chrome, Firefox, Apple 및 Microsoft는 모두 보안 업데이트를 발표하여 이 8개의 위험한 중간 인증서를 블랙리스트에 등재하고 사용자가 이들이 발급한 위조 인증서에 접근하는 것을 차단했다. 동시에 eMudhra 회사 자체도 이 결함 있는 인증서들을 공식적으로 폐기했다. 또한 다수의 소프트웨어가 자체 내장된 인증서 신뢰 저장소에 의존하기 때문에 Go, Python, Rust 및 Electron 등 주요 개발 언어와 프레임워크도 긴급 업데이트를 배포하여 각자의 생태계 내에서 영향을 받은 인증서들을 차단했다.

현재까지 글로벌 보안 기관은 이 취약한 개인키가 악의적으로 이용되어 위조 인증서가 발급된 증거를 발견하지 못했다. 그러나 방대한 사물인터넷 기기와 적시에 업데이트되지 않은 구버전 시스템을 고려하면 이 보안 위험을 전면적으로 정리하는 데는 여전히 시간이 필요하다. 보안 전문가들은 사용자들에게 현재 가장 직접적이고 효과적인 보호 조치는 브라우저와 운영체제를 최신 버전으로 유지하여 최신 인증서 블랙리스트를 적시에 확보하고 자신의 네트워크 접근 보안을 보장하는 것이라고 당부했다.