eMudhra, 글로벌 SSL/TLS 인증서 사업에서 전격 철수
eMudhra to Exit Global SSL/TLS Certificate Business
eMudhra가 최근 발생한 인증서 사고의 여파로 글로벌 SSL/TLS 인증서 사업에서 자발적으로 철수한다. 이 사업은 전체 매출의 약 1%에 불과하지만, 데이터 주권 규제 강화와 무료 인증서 확산으로 수익성이 악화된 데다 사고를 둘러싼 소셜 미디어의 과도한 확산이 부담으로 작용했다. 회사는 G1 RSA 루트를 전환 완료까지 유지하고, 영향을 받은 고객에게 무료 교체를 제공하며, 브라우저 루트 프로그램에 대한 약속도 이행할 계획이다. DSC, eSign, PKI 솔루션 등 핵심 사업은 영향받지 않는다.
많은 인증기관에게 SSL/TLS는 사업의 전부다. eMudhra에게 그것은 훨씬 넓은 디지털 솔루션 포트폴리오의 한 부분일 뿐이다.
HN 토론
540- rdtsc
> 그러나 이 사건에 대한 소셜 미디어의 확산 수준은 SSL/TLS가 우리 사업에서 차지하는 위치에 비해 과도한 조사를 불러일으켰습니다
조사 수준은 그들이 사용한 개인 키의 비트 복잡도에 반비례합니다. 사과하거나 어떻게 발생했는지(인적 실수, 프로세스 실수 등)를 공개하지 않는다면, 그들에게 꽤나 안 좋아 보입니다.
> eMudhra의 글로벌 SSL/TLS 인프라는 다른 운영과 별도로 운영됩니다. 회사의 글로벌 디지털 서명 인증서(DSC), eSign 및 인도를 포함한 기타 서명 서비스, 엔터프라이즈 PKI 솔루션(emCA, CertiNext 플랫폼), emSigner eSignature Suite, 그리고 신원 및 인증 솔루션(SecurePass, emAS)은 영향을 받지 않으며 정상적으로 계속 운영됩니다
보안이나 신뢰와 관련된 어떤 것이든 이들에게 의존하는 사람은 이 시점에서 러시안 룰렛을 하는 셈입니다.
- Toutouxc
어쩐지 이게 상황을 더 악화시키고 있어요. 마치, 아내에게 이 모든 걸 설명하는 데 어려움을 겪고 있는데, 그들이 저지른 일만큼이나 터무니없는 비유나 우화가 떠오르지 않거든요. 좋은 비유 가진 분 있나요?
예를 들어, 좌측 핸들 차량과 우측 핸들 차량을 모두 만드는 공장을 세우고, 2년 동안 아무도 눈치채지 못한 채 앞좌석에 승객 좌석이 두 개인 차를 계속 만드는 것 같은 거요?
- ieie3366
관련해서: Chrome 팀이 eMudhra에 공개적으로 제출한 정말 가혹한 질문 폭격
- luispa
-----BEGIN RSA PRIVATE KEY-----
4
-----END RSA PRIVATE KEY-----
- rahimnathwani
"영향을 받은 CA에서 최종 엔티티 인증서가 발급되지 않았습니다."
누구나 영향을 받은 CA에서 인증서를 발급할 수 있다는 점을 고려하면 이 진술은 이상해 보입니다.
- moribvndvs
> eMudhra는 최근 사건을 성실히 처리하여 발견 후 14시간 이내에 영향을 받은 CA를 폐기했습니다
이런 일에 14시간이 성실한 대응 시간인가요?
- nayuki
> eMudhra 소개 / 17년 이상의 전문성을 바탕으로 eMudhra는 디지털 신원, 신뢰 및 보안 솔루션의 글로벌 제공업체로서 전 세계 35개국 이상에서 은행 및 금융 기관(BFSI), 기업, 정부의 안전한 디지털 전환을 지원합니다. 제품군은 CertiNext에 걸쳐 있습니다
맨 아래 진술이 과거 시제로 쓰였으면 좋았을 텐데요: eMudhra는 디지털 신원의 글로벌 제공업체였습니다 ... 일시적으로 안전한 디지털 전환을 가능하게 했습니다 ... 제품군은 CertiNext에 걸쳐 있었습니다...
- Arbortheus
이 블로그[1]에 따르면, 연구원이 Apple에 eMudhra CA 인증서가 손상되었다고 보고한 지 이제 거의 5일이 지났습니다.
제가 이 글을 쓰는 지금도 제 iPhone 15 Pro는 여전히 이 손상된 CA에서 서명한 인증서를 받아들이고 있습니다. 기기는 "최신 상태"인데도 여전히 Trust Store 버전 2026073000을 실행 중입니다. [2]에서 확인해보면, 3개의 eMudhra 중간 CA에서 발급한 인증서가 여전히 신뢰되고 있습니다!
Google Chrome은 이 인증서를 1시간 40분 만에 폐기했고, Mozilla는 4시간이 조금 안 되어 폐기했습니다.
Apple이 이렇게 실패한 것에 정말 놀랐습니다. 자신의 휴대폰이 지금 중간자 공격에 취약하다는 사실을 전혀 모르는 사람들이 엄청나게 많을 수 있습니다.
iPhone은 왜 CRL 목록을 사용하지 않나요? 왜 Apple이 Chrome이 2시간 이내에 한 일을 하는 데 5일 이상이 걸리나요.
제 MacBook도 비슷한 상황이지만, 적어도 거기서는 제 Chrome 브라우저가 _CRL을 사용합니다_ (그러나 설치된 모든 프로그램이 그렇다고 말할 수는 없습니다).
[1] https://fenko.nz/blog/emudhra-ca-compromise/#what-happened-i...
- b3lvedere
"eMudhra의 글로벌 SSL/TLS 인프라는 다른 운영과 별도로 운영됩니다. 회사의 글로벌 디지털 서명 인증서(DSC), eSign 및 인도를 포함한 기타 서명 서비스, 엔터프라이즈 PKI 솔루션(emCA, CertiNext 플랫폼), emSigner eSignature Suite, 그리고 신원 및 인증 솔루션(SecurePass, emAS)은 영향을 받지 않으며 정상적으로 계속 운영됩니다."
그럼 그들은 자기 인증서조차 사용하지 않았나요? :)
- trimbo
> 영향을 받은 CA에서 최종 엔티티 인증서가 발급되지 않았습니다
"영향을 받은 CA에서"를 추가한 것은 이 글을 읽는 비기술자들을 그냥 지나치게 할 최고의 PR 꼼수 문구입니다.
이 성명서를 작성하거나 프롬프트한 사람들에게 축하를 보냅니다.