eMudhra 중간 CA 키 유출로 Apple, 가짜 웹사이트 인증서 차단
About the compromised eMudhra intermediate CAs
eMudhra가 운영하는 중간 인증 기관(CA) 8개의 개인 키가 유출됐다. 이 중 6개가 TLS 인증서를 발급해, 키를 가진 사람은 어떤 웹사이트든 유효해 보이는 인증서를 만들 수 있게 됐다. Apple은 2026년 10월 19일부터 해당 인증서 12개와 23일부터 emSign ECC Root CA - G3를 차단 중이다. 대부분 사용자는 별도 조치가 필요 없지만, Terminal에서 curl이나 git을 쓰는 관리자·개발자는 /etc/ssl/cert.pem에서 루트 CA를 제거하는 방법을 안내받았다.
이 6개 CA의 키를 가진 사람은 어떤 웹사이트에 대해서도 유효해 보이는 인증서를 만들 수 있습니다.
HN 토론
70- magnio
Mac에서는 macOS나 Xcode Command Line Tools에 포함된 일부 명령줄 도구(curl, git, python3, ruby, perl, openssl 포함)가 /etc/ssl/cert.pem에 대해 인증서를 검사한다. 이 파일의 루트 CA 인증서로 체인이 이어지는 인증서의 경우, 이 도구들은 Apple의 차단 여부나 인증서가 폐기되었는지를 확인하지 않는다. 이 파일은 향후 macOS 업데이트에서 갱신될 예정이다. 이 도구들을 사용하면서 업데이트를 기다리고 싶지 않다면, 파일에서 루트 CA 인증서를 제거하면 된다.
정말 개판이네
- mattstir
이 괴상한 반(反)보안 대응을 옹호하는 사람들을 보는 건 정말 어이가 없다. 보안 문제를 고치는 데 발만 동동 구르는 것도 모자라, 새 업데이트가 나올 때마다 수동 수정을 조용히 되돌리고 있으니 말이다. 그건 아무것도 안 하는 것보다 확실히 더 나쁘다! 또 "나중에 좀 더 쉽게 하려고 이 치명적 보안 문제 수정을 미루자"는 식의 접근을 사람들이 옹호하는 걸 보는 것도 불편하다. 마치 Apple이 평범한 패치 릴리스의 일부로 파일에서 약 12줄을 지우는 것조차 못 할 것처럼 말이다. 수동 수정을 되돌릴 수 있다면 그 파일을 분명히 배포하고 있다는 뜻이고, 그렇다면 그 파일에 수정을 담아 배포할 수도 있었을 것이다. 이걸 옹호한다는 건 정말 소름 끼치는 일이다.
- gwbas1c
Apple이 왜 수정을 내놓는 데 이렇게 오래 걸리는지 정말 알고 싶다. 특히 기존 컴퓨터를 어떻게 업데이트하는지 설명할 수 있다면, 대체 뭐가 걸림돌인 걸까? 그들의 릴리스 프로세스 문제인가? 아니면 잘 이해되지 않는 어떤 근본적인 복잡성이 있는 건가?
- pluc
관련 글: 열흘 뒤에도, macOS의 Git은 여전히 침해된 eMudhra 인증서를 신뢰한다 https://news.ycombinator.com/item?id=50271640
- lazzurs
이건 좀 약한 대응이다. 나는 방금 iPhone을 버리고 GrapheneOS로, Apple Watch를 버리고 Pebble로 갈아탔다. Linux를 올린 Framework 같은 게 답이라는 확신이 점점 더 든다.