eMudhra의 OTP 로그인, 공개키 하나로 완전히 뚫렸다

eMudhra Login Bypass

한 Mastodon 사용자가 eMudhra의 1차 인증 OTP 로그인 시스템을 완전히 우회하는 방법을 공개했다. OTP를 공개키로 암호화해 Cloudflare Turnstile 뒤에서 발급하는 구조인데, 그 공개키를 그대로 가져다 OTP 요청을 직접 '서명'하면 된다는 것. PoC는 8개 연결로 동시에 돌려 매우 빠르게 동작하며, Turnstile은 한 번만 통과하면 충분하다고 한다. 이메일만 OSINT로 찾아내면 기존 eMudhra 인증서를 탈취할 수 있다는 지적도 나온다.