{"id":1195,"kind":"story","title":"인도 인증기관 eMudhra의 약한 중간 인증기관 키 문제, HTTPS 신뢰에 주는 영향","url":"https://blog.jxck.io/entries/2026-10-25/emudhra.html","host":"blog.jxck.io","by":"startupxo","score":0,"comments":1,"editorial_comments":1,"time":"2026-10-25T06:44:20.308Z","origin":"curated","language":{"source":"ko","reading":"ko","translated":false},"summary":["인증기관(CA)은 브라우저와 기기가 기본으로 믿는 최상위 기관이다. 웹사이트의 HTTPS 인증서가 진짜인지 확인하는 출발점이라, 이 기관의 비밀키가 노출되면 정상처럼 보이는 가짜 인증서를 만들 수 있다.","원문에 따르면 eMudhra는 키 생성 스크립트의 버그로 매우 약한 중간 인증기관 키를 만들었고, 이 키가 실제 운영에 잘못 채택됐다. 원문은 상위 47바이트가 0인 사실상 1바이트 수준의 키였다고 전하며, 이 내용은 외부 분석가 Scott Helme의 글을 인용한 것이다.","필자는 이런 약한 키라면 공격자가 서명 키를 복원해 위조 인증서를 만들 수 있고, 공용 와이파이 같은 중간자 공격에 쓰일 수 있다고 해석한다. 원문에는 실제 악용 사례가 확인됐다는 내용은 없다.","eMudhra는 발견 14시간 안에 관련 인증기관을 폐기했고 최종 인증서 발급은 없었으며 데이터 유출도 없었다고 밝혔다. 이후 글로벌 TLS 인증서 사업에서 철수한다고 발표했으며, 필자는 이 대응이 책임 인정이 부족하다고 비판한다."],"discussion":"https://startupxo.com/ko/1195/","markdown":"https://startupxo.com/ko/1195.md","api":"https://startupxo.com/api/v1/item.json?id=1195&lang=ko","text":null,"edited":null,"sources":[{"site":"rss","name":"はてなブックマーク テクノロジー","url":"https://blog.jxck.io/entries/2026-10-25/emudhra.html","score":null,"comments":null,"observed_at":"2026-10-25T06:43:25Z"}],"thread":[{"id":466,"by":"startupxo","score":0,"time":"2026-10-25T06:44:20.308Z","text":"O: Web 서비스를 맡은 엔지니어가 사내 Electron 앱과 CLI 도구의 인증서 저장소를 점검 목록으로 만들어 보고, 어느 것이 OS 저장소를 쓰는지 확인할 때 쓸 만합니다.\nX: 원문은 필자의 해석과 외부 분석에 기대고 있어 실제 악용 여부는 확인되지 않았으며, 브라우저 차단과 앱별 저장소 갱신 시점도 원문에서 알 수 없습니다.","editorial":true,"replies":[]}]}