디지털 인증 기관(Certificate Authority)인 eMudhra는 전 세계 SSL/TLS 인증서 시장에서 완전히 철수하기로 결정했다고 발표했습니다. 이번 결정은 보안 연구원들이 해당 기업이 발급한 8개의 중간 인증서에서 치명적인 취약점을 발견한 지 며칠 만에 내려졌습니다. 해당 인증서의 암호화 키는 놀라울 정도로 취약하여 수 초 만에 해킹이 가능한 상태였습니다.
보안 취약점 세부 정보
기술 보고서에 따르면, 해당 기업이 발급한 ECC(타원 곡선 암호) 키는 높은 수준의 복잡성(384비트)을 갖추어야 했으나, 발견된 키의 강도는 3비트에서 8비트에 불과했습니다. 이는 키의 가능한 조합 수가 매우 적다는 것을 의미하며, 누구나 어떤 웹사이트나 이메일 서버에 대해서도 신뢰할 수 있는 웹 인증서를 생성할 수 있게 하여 인터넷 인프라에 심각한 보안 위협을 초래했습니다.
이 뉴스가 중요한 이유
이번 사건의 위험성은 eMudhra가 발급한 인증서가 주요 브라우저와 운영 체제에서 신뢰를 받고 있었다는 점에 있습니다. 취약점이 발견되자마자 브라우저 업체들은 해당 인증서를 즉시 차단해야 했습니다. 그러나 정기적인 업데이트를 받지 않는 사물인터넷(IoT) 기기, 도커(Docker) 컨테이너, 구형 시스템은 신뢰할 수 있는 인증서 목록을 업데이트하지 못할 가능성이 높아 장기간 위험에 노출된 상태로 남게 됩니다.
키 생성식에서의 인적 및 기술적 오류
eMudhra는 2025년 4월에 열린 '키 생성식(Key Generation Ceremony)' 과정에서 결함이 발생했다고 설명했습니다. 회사는 사용된 소프트웨어의 오류로 인해 강력한 키와 취약한 키라는 두 그룹의 키가 생성되었다고 지적했습니다. 라벨링 과정에서의 인적 오류로 인해 취약한 키가 인증서 발급에 사용되어 루트 저장소(Root Stores)에 배포되었습니다. 또한, 회사는 원래 키로 서명하는 데 실패한 후 결함이 있는 키를 사용하여 인증서 폐기 목록(CRL)에 재서명을 시도했으며, 실패 원인에 대한 근본적인 조사를 수행하지 않았음을 인정했습니다.
철수 동기
이사회 의장인 V. 스리니바산은 철수 결정의 이유로 규제 준수 비용의 증가, 무료 인증서 확산으로 인한 낮은 투자 수익률, 그리고 사건 이후 쏟아진 언론의 압박과 집중적인 조사를 꼽았습니다. 회사는 이러한 조사가 자사 사업 포트폴리오에서 해당 활동이 차지하는 비중에 비해 '불균형적'이라고 평가했습니다.