인증 기관 eMudhra, 8개 개인 키 유출...웹사이트 위변조 위험

인도의 웹사이트 인증 기관인 eMudhra에서 8개의 개인 키가 유출되어 공격자가 인증서를 위조하고 신뢰할 수 있는 웹사이트를 사칭할 수 있는 잠재적 위험이 발생했다. 주요 브라우저 및 소프트웨어 업체들은 긴급 패치를 배포하고 해당 인증서를 차단했으나, 일부 브라우저 외 소프트웨어의 경우 인증서 폐기 여부를 확인하지 않아 여전히 취약할 수 있다는 우려가 제기된다.

이번 보안 결함은 지난 10월 17일, 한 연구원에 의해 발견되었다. 연구원 웨인은 eMudhra에서 유출된 8개의 개인 키를 사용하여 'We have a problem here – Wayne.'이라는 경고 메시지에 디지털 서명을 함으로써 취약점을 증명했다. 이는 사용자가 웹사이트를 방문할 때 브라우저가 디지털 인증서를 확인하여 해당 사이트가 진짜인지 검증하는 시스템에 구멍이 뚫렸음을 시사한다.

eMudhra는 6천만 개 이상의 인증서를 발급한 인증 기관 중 하나다. 각 인증 기관은 자신의 인증서에 개인 키로 서명하는데, 이는 마치 마스터 스탬프와 같다. 만약 이 스탬프가 도난당하거나 해킹당하면, 공격자는 어떤 웹사이트에 대해서도 진품처럼 보이는 위조 인증서를 만들 수 있게 된다.

이번 사태는 암호화폐 사용자들에게도 간접적인 영향을 미칠 수 있다. 거래소 봇, 거래 스크립트, 지갑 백엔드 등이 파이썬, 노드, 또는 Go와 같은 언어로 개발되는 경우가 많기 때문이다. 만약 거래소 API에 대한 위조 인증서가 사용된다면, 동일 네트워크상의 공격자가 봇의 트래픽을 읽거나 변경할 수 있다. 현재까지 암호화폐 관련 공격이나 사용자 피해는 보고되지 않았다.

보안 연구원들은 eMudhra가 개인 키로 매우 추측하기 쉬운 작은 정수들을 사용했다고 지적했다. 사이버 보안 뉴스에 따르면, eMudhra는 강력한 384비트 난수 대신 4, 56, 237과 같은 작은 정수들을 개인 키로 사용했다. 보안 연구원 스콧 헬메는 eMudhra의 인증 기관 개인 키 중 하나가 숫자 4이며, 다른 하나는 56, 또 다른 하나는 115라고 밝혔다. 적절한 개인 키는 엄청나게 큰 난수여야 하며, 이를 무작위로 복구하는 것은 사실상 불가능해야 한다.

사태의 심각성을 인지한 주요 브라우저 제조사들은 긴급 조치를 취했다. 모질라는 10월 17일 오후 8시 UTC 이후 보고를 받고 약 3시간 만에 차단 조치를 완료했다. 크롬은 같은 날, 애플은 10월 19일, 마이크로소프트는 10월 20일에 해당 인증서를 차단했다. eMudhra 또한 해당 인증서를 폐기하는 조치를 취했다.

모질라 브라우저는 악의적인 네트워크 감시자들이 이러한 사기성 인증서를 사용하여 신뢰할 수 있는 사이트로 위장할 수 있으며, 이를 통해 사용자의 데이터를 읽거나 변경할 수 있다고 경고했다. 이는 사용자의 개인 정보와 민감한 금융 정보가 유출될 수 있는 심각한 보안 위협이다.

개인 키가 어떻게 유출되었는지에 대한 정확한 경위는 아직 불분명하다. 그러나 연구원들의 보고에 따르면, eMudhra의 보안 관리에 심각한 허점이 있었음이 드러났다. 이러한 개인 키 유출은 단순히 웹사이트 접근 문제를 넘어, 온라인 금융 거래, 개인 정보 보호 등 광범위한 영역에 걸쳐 신뢰를 훼손할 수 있는 잠재적 위험을 내포하고 있다.

이번 사건은 웹사이트의 신뢰성을 보증하는 인증 기관의 중요성과 함께, 이들 기관이 얼마나 철저한 보안 시스템을 갖추어야 하는지에 대한 경각심을 다시 한번 일깨워주고 있다. 또한, 개인 키 관리의 중요성을 재확인하는 계기가 되었다. 암호화폐 업계 역시 이러한 보안 취약점에 대한 지속적인 감시와 대응책 마련이 시급하다.