유출된 8개 CA 인증서의 개인 키로 모든 공격자가 어떤 도메인으로든 위장 가능 — 수정 조치 이후 수십억 대의 구형 기기와 소프트웨어 설치가 취약할 수 있으니 즉시 패치할 것
요약
eMudhra가 1바이트 개인 키를 사용해 TLS 중간 CA 인증서 6개와 코드 서명 중간 인증서 2개를 발급한 사건이 발생했습니다. 공격자는 이를 이용해 웹사이트를 위장하거나 악성 코드를 합법적인 출처에서 온 것처럼 보이게 할 수 있으며, 운영 체제·브라우저·서버·라우터·IoT 기기 등 광범위한 장비와 소프트웨어의 업데이트가 필요합니다. 최신 주요 브라우저는 Certificate Transparency를 적용하지만 구형 기기와 소프트웨어는 여전히 문제가 될 수 있습니다.
댓글 0
- 아직 댓글이 없습니다.
다른 게시글
자주 묻는 질문
이번 사건에서 문제가 된 인증서는 몇 개인가요?
TLS 중간 인증서 6개와 코드 서명 중간 인증서 2개로 총 8개입니다.
개인 키가 왜 쉽게 알아낼 수 있었나요?
영향받은 인증서의 개인 키 길이가 1바이트였으며, 0에서 255 사이의 값이라 무차별 대입으로 순식간에 알아낼 수 있었습니다.
최신 브라우저를 사용하면 안전한가요?
최신 Chrome, Brave, Firefox, Safari는 Certificate Transparency를 적용하며, Google은 영향을 받은 6개 중간 CA가 서명한 인증서가 공개 로그에 기록된 적이 없다고 밝혔습니다. 일반적인 웹 브라우징은 안전할 수 있지만 모든 소프트웨어의 업데이트 여부를 확인해야 합니다.