인증기관 eMudhra, 개인키 문제 여파로 SSL/TLS 인증서 사업 철수… 기존 고객 인증서는 무상 교체

무슨 일이 있었나요?

eMudhra는 10월 22일(현지 시간) 세계 시장용 SSL/TLS 인증서 사업을 스스로 그만둔다고 밝혔습니다. SSL/TLS 인증서는 웹사이트 주소(HTTPS)에 접속했을 때 그 사이트가 진짜인지 확인해 주는 전자 증명서입니다. 이번 결정은 회사가 운영하는 인증 기관(CA)의 중간 인증서 8개에서 문제가 나왔기 때문입니다. 문제는 인증서에 서명할 때 쓰는 비밀 열쇠를 제3자가 쉽게 되찾을 수 있다는 것이었습니다.

핵심 숫자와 사실

• 문제는 10월 17일 연구자가 처음 보고했습니다.
• 회사는 문제를 알고 14시간 안에 해당 인증 기관을 폐기하고 이를 알렸습니다.
• 세계 시장용 SSL/TLS 사업은 회사 매출의 약 1%에 그칩니다.
• 회사는 해당 인증 기관에서 웹사이트용 인증서가 발급된 적이 없고, 인프라 침입이나 데이터 유출도 없었다고 밝혔습니다.

왜 이런 일이 생겼나요?

인증서는 웹에서 신뢰를 만드는 도구입니다. 그래서 인증서를 만드는 데 쓰는 비밀 열쇠가 새면 큰 문제가 됩니다. 최근에는 데이터 보호 규칙과 여러 법 요구가 늘어나 이 사업을 운영하는 비용과 복잡성도 함께 커졌습니다. 또 큰 기업들이 인증서를 공짜로 발급하면서 작은 회사가 돈을 벌기 어려워졌습니다.

다른 회사들은 어떻게 했나요?

Mozilla, Google, Apple, Microsoft는 문제가 된 중간 인증서를 차단했습니다. Mozilla와 Google은 위에 있는 루트 인증서 'emSign ECC Root CA - G3'의 신뢰도 취소하겠다고 밝혔습니다.

왜 중요한가요?

웹사이트 인증서는 우리가 안심하고 온라인 서비스를 쓰게 해 주는 기초입니다. 이번 일은 인증서를 만드는 회사의 열쇠 관리가 얼마나 중요한지 보여 줍니다. 이미 이 인증서를 쓰는 기업은 다른 회사의 인증서로 바꿔야 합니다.