기술 기업들, 키 결함으로 eMudhra 인증서 8개 차단에 나서

코인텔레그래프 보도에 따르면, 주요 기술 기업들은 인증기관 eMudhra가 발급한 디지털 인증서 8개를 차단하는 조치에 나서고 있다. 이는 해당 인증서의 개인 키가 생성된 방식의 결함 때문이다. 이 취약점은 개인 키를 추측할 수 있게 해, 누구든 어떤 웹사이트든 HTTPS 인증서를 위조할 수 있게 했다.

HTTPS 인증서는 브라우저와 운영체제가 사이트가 주장하는 대로 실제 그 사이트인지 확인하는 데 사용하는 수단이다. 공격자가 자신이 통제하지 않는 도메인에 대해 유효한 인증서를 만들 수 있다면, 그 사이트를 사칭해 사용자가 암호화되고 진짜라고 믿는 트래픽을 가로채거나 조작할 수 있다.

폐기가 중요한 이유

인증서를 차단하는 것은 표준적인 해결책이다. 브라우저와 운영체제 벤더는 신뢰 저장소와 폐기 목록을 유지하며, 손상되었거나 예측 가능한 키로 발급된 인증서를 거부할 수 있다. 영향을 받은 인증서들은 이러한 차단 메커니즘에 추가되고 있으며, 이는 위조 인증서가 승인될 수 있는 기간을 줄여 준다.

이번 사건은 웹 보안이 얼마나 적은 수의 인증기관에 의존하고 있는지를 상기시켜 준다. 과거의 잘못된 발급과 키 침해 사고로 인해 벤더들은 CA를 완전히 신뢰하지 않게 되었고, 그러한 조치는 해당 기관에 의존하는 모든 사이트를 혼란에 빠뜨릴 수 있다. 암호화폐 사용자의 실질적 노출 위험은 다른 웹 서비스와 같다. 위조 인증서는 피싱이나 중간자 공격 페이지를 합법적으로 보이게 할 수 있으므로, 독립적인 경로를 통해 주소를 확인하는 것은 여전히 유용하다.