인증서 유출 사고 터져서 난리 난 애플 보안 상황 (개발자 필독)

요약 인증서 발급 기관인 eMudhra의 중간 인증 기관(CA) 8곳의 개인키가 유출되는 심각한 보안 사고가 발생했습니다. 이 중 6개 기관은 TLS 인증서를 발급하는 곳으로, 공격자가 유출된 키를 악용할 경우 어떠한 웹사이트에 대해서도 정상적인 웹사이트로 위장한 유효한 인증서를 위조할 수 있는 위험이 있었습니다. 이에 따라 eMudhra와 크로스 사이닝을 진행한 Sectigo 측은 해당 인증서들을 즉각 폐기했습니다. 애플은 일반 이용자들을 보호하기 위해 10월 19일부터 기기 단에서 해당 위조 가능 인증서 12개를 자동으로 차단하기 시작했습니다. 사파리(Safari), 메일(Mail) 및 애플 기본 네트워크 프레임워크를 사용하는 일반 앱들은 별도의 macOS 소프트웨어 업데이트를 설치하지 않아도 애플이 백그라운드로 전송하는 설정 업데이트를 통해 자동으로 차단 조치가 적용됩니다. 다만 터미널 환경을 자주 다루는 개발자나 시스템 관리자는 추가적인 주의가 필요합니다. macOS나 Xcode Command Line Tools에 포함된 curl, git, python3, openssl 등의 CLI 도구는 시스템 보안 프레임워크 대신 '/etc/ssl/cert.pem' 파일의 루트 CA 목록을 직접 참조하기 때문입니다. 애플은 향후 macOS 정식 업데이트를 통해 이 파일 역시 갱신할 예정이지만, 업데이트 이전까지 취약점을 완전히 방지하고자 하는 관리자는 터미널 명령어를 통해 해당 파일에서 문제가 된 'emSign ECC Root CA - G3' 및 크로스 사이닝된 'AAA Certificate Services' 루트 인증서를 수동으로 제거할 수 있습니다.