애플 macOS, 해킹된 인증서 방치 논란… 깃(git) 쓰다가 코드 털릴 판

요약 애플이 인도 공인인증기관(CA) eMudhra의 인증서 유출 및 침해 사고를 통보받은 지 10일이 넘도록 macOS 기본 개발자 도구에 해당 인증서를 여전히 신뢰하도록 방치하고 있다는 사실이 드러나 개발자 커뮤니티에서 논란이 되고 있습니다. 사파리 등 애플 자체 네트워킹 프레임워크 기반 앱들은 이미 보호 조치가 완료되었으나, macOS에 기본 탑재된 git, curl, python3 등의 도구는 여전히 탈취된 인증서를 그대로 신뢰하고 있습니다. 특히 지난 10월 26일 배포된 최신 macOS 업데이트에서도 해당 문제가 해결되지 않았을 뿐만 아니라, 개발자들이 수동으로 적용해 두었던 임시 조치(workaround)마저 초기화되면서 다시 취약점에 노출된 상태입니다. 자원봉사자들이 운영하는 수십 개의 오픈소스 프로젝트조차 며칠 만에 패치를 배포한 것과 비교되어 비판을 받고 있습니다. 이 취약점이 방치될 경우 공격자는 HTTPS 연결을 가로채 깃(git) 클론이나 풀 과정에서 악성 코드를 주입하거나 푸시 내역을 변조할 수 있으며, 깃허브 토큰과 같은 인증 정보까지 탈취할 수 있습니다. 보안 연구자들은 `/etc/ssl/cert.pem` 파일에서 문제가 된 루트 인증서를 수동으로 제거할 것을 권장하며, macOS 업데이트 시 이 조치가 초기화되므로 패치가 나올 때까지 업데이트마다 수동 삭제를 반복해야 한다고 경고하고 있습니다. 또한 CI/CD 파이프라인 등 빌드 인프라에서 macOS 러너를 사용하는 조직의 경우 공급망 공격 위험을 점검할 필요가 있다고 지적했습니다.