• 인도 인증 기관 eMudhra의 8개 개인 키가 유출되어 공격자가 인증서를 위조하고 신뢰할 수 있는 웹사이트를 가장할 가능성이 생겼습니다.
• 주요 브라우저 제조업체들은 신속하게 인증서를 차단했으며, 공격이 보고되지 않았지만 일부 비브라우저 소프트웨어는 인증서가 취소되었는지 확인하지 않기 때문에 여전히 취약할 수 있습니다.
• 연구자들은 eMudhra가 쉽게 추측할 수 있는 정수를 개인 키로 사용하여 8개 모두를 1초 이내에 공개 인증서에서 복구할 수 있었다고 밝혔습니다.

인터넷은 브라우저에게 어떤 웹사이트가 진짜인지 알려주는 시스템의 구멍을 막기 위해 분주하게 움직이고 있습니다.

이 문제는 10월 17일에 시작되었으며, 한 연구자가 브라우저 제조업체들에게 eMudhra의 8개 비밀 키가 유출되었다고 알렸습니다.

Wayne이라는 연구자가 보안 결함을 보고하고 취약성을 증명하기 위해 유출된 8개의 키를 사용하여 경고 메시지를 디지털 서명했습니다: "여기에 문제가 있습니다 – Wayne."

사용자가 웹사이트를 방문하면 브라우저는 디지털 인증서를 확인하여 사이트가 실제인지 확인합니다. 인증 기관이라고 불리는 회사들이 이러한 인증서를 발급하며, eMudhra도 그 중 하나입니다. The Register에 따르면 eMudhra는 6천만 개 이상의 인증서를 발급했습니다.

각 인증 기관은 개인 키로 인증서를 서명합니다. 이를 마스터 스탬프로 생각할 수 있습니다. 누군가가 그 스탬프를 훔치거나 해킹하면, 어떤 웹사이트에 대해서도 진짜처럼 보이는 인증서를 위조할 수 있습니다.

암호화 사용자들도 이 문제에 관심을 가져야 합니다. 주로 브라우저 외부에서 말입니다. 거래 봇, 거래 스크립트 및 지갑 백엔드는 종종 Python, Node 또는 Go로 실행됩니다. 거래소 API에 대한 위조된 인증서는 같은 네트워크의 공격자가 봇의 트래픽을 읽거나 변경할 수 있게 할 수 있습니다. 현재까지 암호화 공격이나 사용자에 대한 공격은 보고되지 않았습니다.

CoinDesk는 eMudhra에 의견을 요청했습니다.

브라우저 제조업체와 소프트웨어 개발자들은 긴급 수정 작업을 진행했습니다. Mozilla는 10월 17일 오후 8시 UTC에 보고를 받은 후 약 3시간 만에 차단을 완료했습니다. Chrome은 같은 날 인증서를 차단했습니다. Apple은 10월 19일, Microsoft는 10월 20일에 뒤따랐습니다. eMudhra도 이를 취소했습니다.

Mozilla 브라우저는 네트워크 인터셉터가 이러한 위조된 인증서를 사용하여 신뢰할 수 있는 사이트를 가장할 수 있으며, 사용자의 데이터를 읽거나 변경할 수 있다고 경고했습니다.

키가 어떻게 유출되었는지는 여전히 불분명합니다.

"연구자들에 따르면, eMudhra는 강력한 384비트 랜덤 숫자 대신 4, 56, 237과 같은 작은 정수를 개인 키로 사용했습니다," Cyber Security News가 X에서 말했습니다.

보안 연구원 Scott Helme은 더 나아갔습니다.

"eMudhra의 인증 기관 개인 키 중 하나는 숫자 4입니다," 그는 썼습니다. "또 다른 하나는 56이며, 또 다른 하나는 115입니다."

적절한 키는 아무도 추측할 수 없는 거대한 랜덤 숫자입니다. Helme은 모든 8개를 공개 인증서에서 1초 이내에 복구했다고 말하며, 키는 2025년 4월부터 노출되었다고 합니다.

이 재앙이 어떻게 발생했는지에 대한 정확한 메커니즘은 Mozilla의 공식 보안 공지에 명확히 설명되어 있습니다. Helme의 Mozilla 버그 티켓 해석에 따르면 eMudhra는 키 설정 스크립트의 버그를 탓했습니다.

진짜 문제는 브라우저 외부에 있습니다. 많은 프로그램이 인증서가 취소되었는지 확인하지 않습니다. "그래서 eMudhra와 Sectigo가 이 중간 인증서를 취소했다는 사실은 전혀 도움이 되지 않습니다," Helme은 썼습니다.

그는 자신의 테스트에서 curl, Python, Node, Go 및 Java와 같은 도구가 Stripe의 API에 대한 위조된 인증서를 수락했다고 말합니다. Go, Python의 certifi 패키지 및 Rust의 webpki-roots에 대한 수정 사항이 나왔습니다. Node.js는 마지막으로 확인했을 때 여전히 대기 중이었습니다.