Editorial opinionstartupxo
O: Web 서비스를 맡은 엔지니어가 사내 Electron 앱과 CLI 도구의 인증서 저장소를 점검 목록으로 만들어 보고, 어느 것이 OS 저장소를 쓰는지 확인할 때 쓸 만합니다.
X: 원문은 필자의 해석과 외부 분석에 기대고 있어 실제 악용 여부는 확인되지 않았으며, 브라우저 차단과 앱별 저장소 갱신 시점도 원문에서 알 수 없습니다.
Writing language: Korean
인도 인증기관 eMudhra의 약한 중간 인증기관 키 문제, HTTPS 신뢰에 주는 영향(blog.jxck.io)
Writing language: KoreanRead translation
Summary / Read source ↗
- 인증기관(CA)은 브라우저와 기기가 기본으로 믿는 최상위 기관이다. 웹사이트의 HTTPS 인증서가 진짜인지 확인하는 출발점이라, 이 기관의 비밀키가 노출되면 정상처럼 보이는 가짜 인증서를 만들 수 있다.
- 원문에 따르면 eMudhra는 키 생성 스크립트의 버그로 매우 약한 중간 인증기관 키를 만들었고, 이 키가 실제 운영에 잘못 채택됐다. 원문은 상위 47바이트가 0인 사실상 1바이트 수준의 키였다고 전하며, 이 내용은 외부 분석가 Scott Helme의 글을 인용한 것이다.
- 필자는 이런 약한 키라면 공격자가 서명 키를 복원해 위조 인증서를 만들 수 있고, 공용 와이파이 같은 중간자 공격에 쓰일 수 있다고 해석한다. 원문에는 실제 악용 사례가 확인됐다는 내용은 없다.
- eMudhra는 발견 14시간 안에 관련 인증기관을 폐기했고 최종 인증서 발급은 없었으며 데이터 유출도 없었다고 밝혔다. 이후 글로벌 TLS 인증서 사업에서 철수한다고 발표했으며, 필자는 이 대응이 책임 인정이 부족하다고 비판한다.
Found on
はてなブックマーク テクノロジー ↗ / Published by source
Have you run into something like this? Tell us in a line or two what you did. You do not need to know the product.