구글, eMudhra 루트 인증서 삭제…취약한 키 결함 여파

구글은 10월 27일 eMudhra의 루트 인증서 emSign ECC Root CA – G3를 크롬 루트 스토어에서 삭제했습니다. 이 인증서에 의존하는 웹사이트에 접속하면 크롬 사용자에게 전체 화면 보안 경고가 표시됩니다. 벵갈루루에 본사를 둔 eMudhra는 인도 최대의 공인 인증기관입니다.

키 생성 과정의 결함

10월 중순 한 연구자가 eMudhra의 글로벌 계층 아래 인증기관 8곳의 개인 키가 누구나 알아낼 수 있을 만큼 취약하다고 밝혔습니다. 원래 약 116자리여야 할 키가 8개 모두 256 미만이었습니다. 이 키들은 2025년 4월 30일 키 세레모니에서 생성됐습니다.

회사 측은 스크립트 결함으로 취약한 키 세트가 따로 만들어졌고, 이름표가 비슷해 실수로 사용됐다고 설명했습니다. 이 문제는 감사 두 차례, 약 18개월 동안 발견되지 않았습니다. 공동 창업자 카우시크 스리니바산은 이를 “일회성의 나쁜 날”이라고 말했습니다. 감사 보고서는 2~3주 안에 나올 예정입니다.

10월 17일 제보를 받은 구글은 약 1시간 40분 만에 CRLSet으로 인증서 6개를 차단했습니다. 모질라도 몇 시간 내 파이어폭스에서 차단했고, 애플은 19일, 마이크로소프트는 20일 패치를 내놨습니다. 크롬은 차단 전에 6개 중간 인증서에서 발급된 웹사이트 인증서가 공개 Certificate Transparency 로그에 없었다고 밝혔습니다.

인도의 책임 공방

eMudhra는 10월 22일 G3와 G1 루트를 포함해 글로벌 SSL/TLS 인증서 사업을 정리한다고 발표했습니다. 회사는 이 사업이 매출의 약 1%라고 밝혔습니다. 인도 당국의 대응은 상대적으로 느렸습니다. IT부(MeitY)가 조사팀을 꾸렸고 CERT-In은 제보 4일 뒤 권고문을 냈습니다.

eMudhra는 인도에서 소득세, GST, 관세, 회사법 신고용 전자서명도 처리하며 규제 기관은 인증기관 감독청(CCA)입니다. 어떤 규정이 위반됐고 어떤 처벌이 가능한지가 쟁점입니다. 크롬은 나머지 루트의 유지 여부도 검토하고 있습니다.