Apple, eMudhra 중간 CA 개인키 유출 사태로 인증서 차단 및 curl·git 임시 우회법 공개

무슨 일이 있었나요?

인증서는 웹사이트나 파일이 진짜라는 것을 증명하는 디지털 신분증 같은 것입니다. 한 보안 연구자가 인도 회사 eMudhra가 중간 인증서 8개에 약한 암호 키를 만들고, 그 키를 공개해 버렸다는 사실을 찾아냈습니다. 애플은 2026년 10월 19일부터 영향을 받은 인증서를 차단하기 시작했고, 10월 23일에는 루트 인증서 'emSign ECC Root CA - G3'도 차단 목록에 넣었습니다.

주요 숫자와 사실

• eMudhra는 중간 인증 기관(CA) 8개를 운영합니다.
• 애플은 웹사이트를 보호하는 TLS 인증서를 발급하는 중간 CA 6개와 연결된 인증서 12개를 차단합니다.
• 약한 키는 2025년 4월 30일에 만들어졌고, 문제는 약 18개월 뒤에 발견되었습니다.
• 차단은 2026년 10월 19일에 시작되었고, 루트 인증서는 10월 23일에 추가되었습니다.

왜 명령줄 도구가 문제인가요?

사파리나 메일 같은 애플 앱은 나쁜 인증서를 자동으로 막습니다. 하지만 curl, git, python3, ruby, perl, openssl 같은 명령줄 도구는 /etc/ssl/cert.pem 파일에 적힌 신뢰 목록을 읽습니다. 이 파일은 아직 업데이트되지 않아서, 이 도구들은 여전히 나쁜 인증서를 믿습니다. 애플은 앞으로 나올 업데이트에서 이 문제를 고치겠다고 밝혔습니다.

지금 해볼 수 있는 임시 조치

• 먼저 /etc/ssl/cert.pem 파일을 백업합니다.
• 파일에서 'emSign ECC Root CA - G3' 루트 인증서를 삭제합니다.
• 선택 사항: Sectigo가 영향을 받은 인증서 6개에 교차 서명할 때 쓴 'AAA Certificate Services' 루트 인증서도 삭제할 수 있습니다.
• openssl과 grep 명령으로 두 루트 인증서가 모두 사라졌는지 확인합니다.
• 애플 업데이트가 cert.pem을 새로 고칠 예정입니다. 최신 절차는 애플 공식 지원 페이지에서 확인하세요.

왜 중요한가요?

디지털 인증서는 인터넷 보안의 핵심입니다. 인증 기관의 비밀 키가 새어 나가면, 공격자가 진짜 웹사이트인 척할 수 있습니다. 명령줄 도구를 쓰는 개발자와 시스템 관리자는 지금 바로 조치해야 합니다. 애플의 업데이트가 나오기 전까지 이 도구들은 계속 나쁜 인증서를 믿기 때문입니다.