해킹으로 Google 위장 TLS 인증서 발급…DNS 탈취가 계기
원제 Hackers obtain counterfeit TLS certificates for Google and other large services
138 포인트댓글 49
Key Point
도메인 레지스트리 탈취로 수백 개 사이트의 위장 인증서가 발급된 대규모 사건으로, 도메인과 DNS 보안의 취약점이 TLS 신뢰 체계 전체에 미치는 영향을 보여준다.
핵심 요약
- 공격자들이 .gh, .sl, .as 국가 도메인 3개를 탈취한 뒤 DNS 레코드를 조작해 Google과 다른 대형 서비스의 위조 TLS 인증서를 발급받았다.
- 공격자들이 탈취한 DNS 레코드로 도메인 통제 권한을 자동 검증하는 과정을 통과하고, Google의 여러 도메인과 '세계적 선도 브랜드 및 널리 쓰이는 온라인 서비스'에 대한 무단 인증서를 획득했다.
- TLS 인증서는 도메인을 공개키에 묶는 암호화 자격증으로, 이를 악용하면 공격자가 피해 기반시설을 암호학적으로 위장할 수 있다.
- Google은 Chrome을 업데이트해 식별된 무단 인증서를 모두 차단했고, 인증서 발급 기관과 협력해 Google 속성의 무단 인증서를 폐지했다.
- Google은 Chrome 사용자는 별도 조치가 필요 없으나, 도메인 소유자는 인증서 투명성 로그를 모니터링하고 제한적 CAA DNS 레코드를 발행할 것을 권고했다.
- 인증서 공식 폐지 절차가 느리고 번거로워 브라우저 제조사들이 더 빠른 차단 방식을 개발했으나, Google은 미발견 인증서가 여전히 위협이 될 수 있음을 경고했다.
- 이번 사건은 공격자들이 선택된 도메인의 IP 주소를 변경하고 DNS 권한 레코드를 수정해 도메인 통제권을 증명하는 업계 검증을 우회했음을 보여준다.
- 2011년 DigiNotar 인증서 기관 해킹 사건처럼, 이전에도 공격자들이 무단 인증서를 획득한 사례들이 있었으며 주로 인증서 기관이나 도메인 소유자의 실패로 인한 것이었다.