모든 웹사이트 위장 가능? 유명 인증기관 중간키 8개 통째로 털림

요약 글로벌 인증기관(CA)인 eMudhra(이무드라)의 중계 인증서(Intermediate CA) 비밀키(Private Key) 8개가 외부로 유출 및 탈취당하는 대형 보안 사고가 발생했습니다. 해당 중계 인증서들은 모질라, 마이크로소프트, 애플, 구글 크롬 등 전 세계 주요 브라우저와 OS 루트 프로그램에 기본 탑재되어 신뢰받는 루트 인증서와 연결(체이닝)되어 있던 핵심 키들입니다. 이번 유출 사실은 '웨인(Wayne)'이라는 제보자가 8개 중계 CA의 비밀키를 이용해 직접 "We have a problem here - Wayne"이라는 서명 메시지를 생성하고, 이를 검증 가능한 증거 파일과 함께 10월 17일 루트 프로그램 팀들에 보고하면서 공식 확인되었습니다. 공격자가 탈취된 비밀키를 보유할 경우 웹상의 모든 사이트나 서비스를 완벽하게 위장(스푸핑)할 수 있는 치명적인 위험이 있었습니다. 사태가 파악되자마자 모질라 파이어폭스와 구글 크롬은 10월 17일부터 즉각 해당 인증서를 차단했고, 애플은 19일, 마이크로소프트는 20일 차단 조치를 완료했습니다. 주요 브라우저들은 자체 인증서 폐기 배포 시스템(OneCRL, CRLite, CRLSets 등)을 통해 사용자 보호 조치를 끝마쳤으나, 인증서 폐기 목록을 실시간으로 확인하지 않는 각종 개발 도구, 런타임 패키지, 리눅스 시스템 등은 소프트웨어 업데이트가 필수적인 상황입니다. 현재 파이썬(certifi), 러스트, 일렉트론, Go 등 다양한 개발 환경에서 긴급 패치가 배포되고 있으며, 일반 사용자들에게는 브라우저와 운영체제를 즉각 최신 버전으로 업데이트할 것이 강력히 권고되고 있습니다.