eMudhra, Mozilla 루트 조사 기한 무시; 소셜 미디어 탓으로 돌려

무슨 일이 있었나요?

2025년 10월 17일, Mozilla는 Wayne이라는 제보자로부터 eMudhra 중간 인증서 8개의 개인 키가 유출되었다는 신고를 받았습니다. 신고에는 실제로 키를 가지고 있다는 증거도 들어 있었습니다. Mozilla는 곧 Firefox에서 이 인증서들을 믿지 않도록 처리했습니다. eMudhra는 조사에 들어갔고, Sectigo에도 알렸습니다. Mozilla는 다른 방법으로 이 개인 키들을 직접 복구할 수 있었고, 키를 만드는 과정에 결함이 있어 악용하기 쉽다고 밝혔습니다.

핵심 숫자와 사실

• 유출된 중간 인증서는 8개입니다.
• 이 중 6개는 TLS(웹사이트 보안 연결)용이며, Chrome, Mozilla, Microsoft, Apple의 루트 프로그램에서 신뢰받고 있었습니다.
• 나머지 2개는 코드 서명용이며 Microsoft에서 신뢰받고 있었습니다.
• Mozilla는 신고를 받은 지 약 2분 뒤인 20:08 UTC에 신고를 확인했습니다. Firefox에서의 신뢰 해제는 22:59 UTC에 끝났습니다.

알아두면 좋은 배경

인증서는 웹사이트가 진짜인지 확인해 주는 디지털 신분증입니다. 중간 인증서는 최상위 인증기관과 웹사이트 인증서 사이를 잇는 중간 단계입니다. 개인 키는 이 인증서의 주인만 가져야 하는 비밀 열쇠입니다. 개인 키가 새어 나가면 누구나 진짜처럼 보이는 가짜 인증서를 만들 수 있어서 매우 위험합니다. 그래서 Mozilla 같은 브라우저 회사는 이런 인증서를 신뢰 목록에서 빼는 조치를 합니다.

왜 중요한가요?

이 사건은 인증기관이 보안 사고를 얼마나 빨리, 정확히 알려야 하는지를 보여 줍니다. 원래 Mozilla가 정한 조사 기한을 eMudhra가 지키지 않았다는 점이 문제로 지적되고 있습니다. 또한 소셜 미디어를 탓하는 태도는 신뢰를 떨어뜨릴 수 있습니다. 인터넷 사용자가 믿는 웹사이트 보안이 흔들릴 수 있다는 점에서도 중요합니다.

앞으로 지켜볼 점

• eMudhra가 정해진 기한 안에 자세한 조사 결과를 내놓는지 확인해야 합니다.
• Sectigo 등 다른 인증기관이 어떤 영향을 받는지 지켜봐야 합니다.
• 키를 만드는 과정의 결함이 어떻게 고쳐지는지 살펴봐야 합니다.