불명예를 안은 인도 인증서 발급사, 인증서 발급 사업에서 철수

무슨 일이 있었나요?

eMudhra는 자사의 '비밀 키'가 너무 쉽게 풀릴 만큼 약하다는 사실이 공개되자 SSL/TLS 인증서 사업을 그만두겠다고 발표했습니다. 비밀 키는 인증서를 만들 때 쓰는 아주 중요한 열쇠입니다. 회사는 이 사업이 전체 매출의 약 1%에 불과하다고 말했습니다.

주요 숫자와 사실

• 문제가 된 비밀 키는 8개였습니다.
• 키 값에는 숫자 4, 56, 66 같은 아주 단순한 값도 있었습니다.
• 보고는 10월 17일 Mozilla에 처음 전달되었습니다.
• 회사는 문제를 발견한 뒤 14시간 안에 해당 인증 기관을 취소했다고 밝혔습니다.
• SSL/TLS 사업은 eMudhra 전체 매출의 약 1%입니다.

알아두면 좋은 배경

SSL/TLS 인증서는 웹사이트 주소 앞의 자물쇠 표시처럼, 인터넷 연결이 안전하다는 것을 证明하는 디지털 신분증입니다. 인증 기관은 이런 신분증을 발급하는 곳입니다. 중간 인증 기관은 더 큰 인증 기관에게 인정받아 인증서를 발급할 수 있는 하위 기관입니다. 그래서 중간 인증 기관의 키가 약하면, 공격자가 믿을 수 없는 인증서를 위조할 위험이 생깁니다.

왜 중요한가요?

이번 일은 인증서를 지키는 가장 기본적인 열쇠가 얼마나 중요한지 보여 줍니다. 회사는 독립 감사를 받았고 브라우저에 이미 등록되어 있었지만, 약한 키는 오랫동안 발견되지 않았습니다. 회사는 키를 만드는 과정의 오류 때문이라고 설명했으며, 실제 인증서는 발급되지 않았고 데이터도 해킹되지 않았다고 주장합니다. 다만 사람들의 신뢰를 회복하기는 쉽지 않아 보입니다.

앞으로 지켜볼 점

• eMudhra가 SSL/TLS 사업을 실제로 어떻게 정리하는지
• 회사가 주장한 '인증서가 발급되지 않았다'는 말을 독립 조사로 확인할 수 있는지
• 브라우저 회사들이 eMudhra의 인증서를 어떻게 다룰지