인도 인증기관 eMudhra의 약한 중간 인증기관 키 문제, HTTPS 신뢰에 주는 영향(blog.jxck.io)

- 인증기관(CA)은 브라우저와 기기가 기본으로 믿는 최상위 기관이다. 웹사이트의 HTTPS 인증서가 진짜인지 확인하는 출발점이라, 이 기관의 비밀키가 노출되면 정상처럼 보이는 가짜 인증서를 만들 수 있다. - 원문에 따르면 eMudhra는 키 생성 스크립트의 버그로 매우 약한 중간 인증기관 키를 만들었고, 이 키가 실제 운영에 잘못 채택됐다. 원문은 상위 47바이트가 0인 사실상 1바이트 수준의 키였다고 전하며, 이 내용은 외부 분석가 Scott Helme의 글을 인용한 것이다. - 필자는 이런 약한 키라면 공격자가 서명 키를 복원해 위조 인증서를 만들 수 있고, 공용 와이파이 같은 중간자 공격에 쓰일 수 있다고 해석한다. 원문에는 실제 악용 사례가 확인됐다는 내용은 없다. - eMudhra는 발견 14시간 안에 관련 인증기관을 폐기했고 최종 인증서 발급은 없었으며 데이터 유출도 없었다고 밝혔다. 이후 글로벌 TLS 인증서 사업에서 철수한다고 발표했으며, 필자는 이 대응이 책임 인정이 부족하다고 비판한다.