eMudhra CA 인증서 개인키가 단일 바이트였던 사건

핵심 요약

• 10월 17일 보안 연구자가 eMudhra 인증 기관의 8개 중간 인증서 개인키 유출을 Apple, Google, Microsoft, Mozilla, eMudhra에 보고했고, Chrome과 Firefox가 차단했으며 Mozilla가 eMudhra 루트를 제거했다.
• eMudhra의 개인키는 4, 56, 115 등 단일 바이트 숫자였으며, P-384 곡선의 개인키는 384비트 난수(2³⁸⁴ 경우의 수)여야 하지만 47바이트 영점 다음 1바이트만 존재했다.
• 이 때문에 인증서의 공개키를 보고 밀리초 단위로 개인키를 복구할 수 있었으며, 연구자는 Mozilla가 공개한 8개 인증서 모두를 즉시 복구했다.
• 2025년 4월 생성된 이 8개 인증서(TLS 6개, 코드 서명 2개)는 2025년 5월 Sectigo의 AAA Certificate Services 루트로 교차 서명되었다.
• 개인키가 본질적으로 약하고 누구나 인수분해할 수 있어서 '포함될 수 없는' 문제이며, 17개월간 누군락 이를 악용했는지 알 수 없다.
• Chrome은 인증서 투명성(CT)으로 이 CA를 체인으로 하는 가짜 인증서가 없었다고 확인했지만, curl, Python, Node, Go, Java, git 등 대부분의 비브라우저 TLS 클라이언트는 CT를 검사하지 않는다.
• curl, Python, Node로 api.stripe.com 가짜 인증서를 테스트하면 기본 설정에서 'SSL certificate verify ok'라 나타났으며, Windows CryptoAPI도 revocation checking을 켜지 않으면 수락했다.
• 설치 스크립트, CI/CD 파이프라인, 서버 간 API 호출, IoT 기기, Windows 코드 서명 등이 위험하며, IoT 기기는 펌웨어가 2039년까지 고정되어 있어 이 기간 동안 위험에 노출된다.
• eMudhra 측은 key ceremony 스크립트 버그로 HSM에 약한 키 쌍이 생성되었고, 유사한 이름으로 인한 인적 오류로 잘못된 키가 사용되었다고 설명했다.
• 업데이트 가능한 기기들은 OS ca-certificates, certifi, Node, Homebrew 등을 업데이트하고 컨테이너 이미지를 재구축해야 하며, 펌웨어가 고정된 기기는 2039년 만료까지 신뢰할 수 없다.