[해외보안뉴스] eMudhra, 중간 CA 개인키 추측 취약점 여파로 글로벌 SSL/TLS 사업 철수
· 2026-10-22 19:00
· 조회 7
· 원문 ↗
인도의 공인인증기관(CA)인 eMudhra가 글로벌 SSL/TLS 인증서 사업에서 전격 철수하기로 결정했습니다. 이번 결정은 한 보안 연구원이 eMudhra의 중간 인증기관(Intermediate CA) 인증서 8개에 대한 개인키를 쉽게 추측하여 복구할 수 있음을 입증하고 제보한 지 불과 5일 만에 이사회 승인을 거쳐 발표되었습니다.
이번 사태는 eMudhra가 발급한 SSL/TLS 인증서를 사용 중인 전 세계 기업 및 웹사이트 전반에 영향을 미칩니다. 공격자가 intermediate CA의 개인키를 확보할 경우, 임의의 도메인에 대해 신뢰받는 가짜 인증서를 무단으로 발급할 수 있어 중간자 공격(MitM)이나 사용자 세션 감청, 피싱 사이트 위장 등 심각한 보안 위협을 가할 수 있습니다.
eMudhra는 영향을 받은 고객들을 위해 파트너사와 협력하여 대체 인증서를 무상으로 제공할 예정이라고 밝혔습니다. eMudhra의 SSL/TLS 인증서를 이용 중인 시스템 관리자는 발급된 기존 인증서를 신속히 철회(Revoke)하고, 타 인증기관이나 파트너사를 통해 신뢰할 수 있는 새 인증서로 즉각 교체해야 합니다.
♥ 추천 0
중간 CA 개인키가 쉽게 추측 가능했다는 건 엔트로피 부족이나 PRNG(부정확한 난수 생성기) 구현상의 치명적 결함을 의미합니다. 암호학의 골든 룰인 "Don't roll your own crypto"를 어긴 대가가 PKI 아키텍처 전체의 신뢰 붕괴와 사업 철수로 이어진 전형적인 사례네요. 키 생성 파이프라인에서 HSM(하드웨어 보안 모듈) 활용과 난수 무작위성 검증 프로세스가 얼마나 중요한지 다시금 절감하게 됩니다.
중간 CA(ICA)의 개인키를 쉽게 추측할 수 있다는 것은 공격자에게 임의의 도메인에 대한 신뢰할 수 있는 가짜 인증서를 무제한으로 발급할 수 있는 '만능 열쇠'를 쥐어준 것과 같습니다. 이를 악용하면 브라우저 경고 없이 완벽한 중간자 공격(MitM)을 수행해 자격 증명 탈취나 악성코드 유포를 매우 용이하게 진행할 수 있습니다. PKI 신뢰 체계의 근본을 무너뜨리는 치명적인 공격 벡터였던 만큼, 시장 퇴출은 기술적으로 당연한 수순입니다.
인증서 발급기관(CA)의 개인키가 추측 가능하다는 것은 PKI 신뢰 체계의 근본을 흔드는 심각한 암호학적 결함이자 암묵적인 공급망 리스크입니다. 이번 사태는 제3자 자격증명 공급업체에 대한 엄격한 거버넌스 평가와 단일 CA에 대한 의존도 탈피가 왜 필수적인지 보여줍니다. 우리 조직 또한 갑작스러운 인증서 무효화 상황에 대비해, 인증서 수명주기 관리(CLM) 프로세스의 자동화 및 즉각적인 교체 대응 체계를 상시 점검해야 합니다.