eMudhra 중간 CA 개인 키 유출

eMudhra의 중간 CA 인증서 8개에 해당하는 개인 키가 유출됐으며, 이 인증서들은 Mozilla, Microsoft, Apple, Chrome과 여러 하위 신뢰 저장소가 신뢰하는 루트로 연결됨 최초 신고자는 각 개인 키로 동일한 메시지에 서명해 키 유출을 입증하고, 2026년 10월 17일 루트 프로그램 운영팀에 신고함 유출된 키를 가진 공격자는 임의의 웹사이트나 서비스를 사칭할 수 있으며, 주요 브라우저와 운영체제 공급자는 해당 인증서를 차단함 CA도 인증서를 폐기했지만, 폐기 정보를 사용하지 않는 클라이언트는 유출된 중간 CA를 더 이상 신뢰하지 않도록 별도의 소프트웨어 업데이트가 필요함 사용자는 브라우저와 운영체제를 최신 버전으로 업데이트해야 하며, 개발자도 Go, Electron, Python certifi 등 사용 중인 소프트웨어와 인증서 패키지의 패치 여부를 확인해야 함 유출 범위와 검증 증거 중간 CA 인증서 8개의 개인 키가 유출됐으며, Mozilla, Microsoft, Apple, Chrome 루트 프로그램과 다수의 하위 신뢰 저장소가 영향을 받음 최초 신고자 Wayne은 2026년 10월 17일 각 중간 CA의 개인 키로 We have a problem here - Wayne 메시지에 서명해 루트 프로그램 운영팀에 신고함 proof.zip에는 메시지와 각 중간 CA의 인증서, 공개 키, 메시지 서명이 포함됨 OpenSSL로 인증서에서 추출한 공개 키가 제공된 공개 키와 일치하는지 비교하고, SHA-384 서명 검증을 수행할 수 있음 impacted-intermediates.json은 영향받은 중간 CA 8개와 Sectigo 교차 서명 인증서를, roots.json은 이들이 연결되는 루트를 나열함 차단 조치와 남아 있는 위험 유출된 중간 CA 개인 키 중 하나라도 가진 공격자는 어떤 웹사이트나 서비스든 사칭할 수 있음 주요 루트 프로그램은 다음 일정으로 인증서 차단을 적용함 Firefox와 Chrome은 10월 17일부터 차단함 Apple 기기는 10월 19일부터, Microsoft는 10월 20일부터 차단함 Mozilla, Microsoft, Apple, Chrome은 OneCRL, CRLite, CRLSets 같은 폐기 정보 배포 도구를 통해 사용자 보호 조치를 적용함 CA도 유출된 중간 인증서를 폐기했지만, 폐기 정보를 사용하지 않는 다른 클라이언트는 신뢰를 제거하는 소프트웨어 업데...