eMudhra의 10월 키 손상 뒤에 있는 내부 Python 스크립트로 인해 회사는 키를 약화시키지 않았음에도 불구하고 중간 인증 기관(CA)을 8개 더 많이 소모하게 되었습니다.
각 중간 CA에는 회사가 발급한 인증서에 서명하는 데 사용하는 자체 개인 키가 있습니다. 10월에 손상된 8개의 중간 CA에는 다른 문제가 있었습니다. 스크립트의 한 줄이 각 키를 1바이트로 잘라버렸다고 이번 주에 회사가 밝혔습니다.
또한 이 스크립트는 회사의 하드웨어 보안 모듈(HSM)에서 새로 해지된 CA 8개의 RSA 키를 검색했습니다. 회사는 자체 규정에 따라 키가 처리되었는지 보여줄 수 없다고 말했습니다. 지난 주 말에 CA가 취소되었습니다.
회사에서는 해당 CA가 영향을 받지 않는다고 밝혔습니다. 10월 19일 Mozilla의 버그 추적기에 “RSA 발급자는 우리의 코드 평가에 따라 다른 경로를 거쳤으므로 영향을 받지 않습니다.”라고 썼습니다.
8개 중 6개는 웹사이트(TLS) 인증서용이고 2개는 코드 서명용이었습니다. 회사는 5월에 그 중 4개를 생산에 투입했습니다. 목록에는 195개의 인증서가 나와 있으며 그 중 29개는 자체 도메인용입니다.
회사가 이번 주 동일한 버그 추적기에 게시한 전체 사건 보고서에 따르면 두 문제 모두 2025년 4월 30일 주요 행사에서 시작되었습니다. 그날 Utimaco HSM에서 10월 키 손상 뒤의 8개를 포함하여 16개의 CA 키를 생성했습니다.
키는 회사의 미국 및 EU 사이트에 있는 Crypto4A HSM용이었습니다. 다른 공급업체의 HSM 간에 키를 이동하는 것은 제한되어 있으므로 PKI 운영 팀은 전송을 위해 각 키를 래핑하고 다시 래핑을 해제하는 Python 스크립트를 작성했습니다.
그날의 왕복은 전송 연습이었고 소스 HSM의 FIPS 승인 모드는 승인된 예외로 꺼졌습니다.
왕복 후 스크립트는 HSM의 각 개인 키를 행사 컴퓨터의 메모리로 읽어 들여 해당 복사본에서 키를 다시 작성했습니다. 8개의 ECDSA 키의 경우 “다시 읽기의 한 줄이 개인 값을 선행 바이트로 잘랐습니다”라고 보고서는 말합니다.
재구축된 키에는 원본과 거의 동일한 레이블이 붙어 있어 서명 및 인증을 위해 약한 복사본을 보낼 수 있었습니다.
Hacker News는 공개 인증서에서 8개의 키를 모두 알아냈습니다. EM OV TLS CA – G3C의 경우 가장 작은 값은 4이고 가장 큰 값은 237입니다.
행사에서 어떤 것도 키의 강도를 테스트하거나 인증된 키를 처음 생성된 키와 비교하여 확인하지 않았습니다. 취약한 키는 여전히 유효한 서명을 생성했으며 해당 인증서는 눈에 띄지 않게 Linting 및 2회의 WebTrust 감사 주기를 통과했습니다.
회사에 따르면 HSM은 전체적으로 올바르게 작동했으며 자체 스크립트 및 프로세스 제어에 결함이 있다고 밝혔습니다.
보고서에 따르면 2025년 6월의 잘못된 CRL 서명은 동일한 오류의 초기 징후였습니다. 회사는 당시 취약한 인증서였던 인증서와 일치하는 키로 목록을 다시 서명하여 이를 수정했습니다.
보고서에 따르면 8개의 RSA 키는 회사의 이전 대응에서 제외된 것과 동일한 다시 읽기 단계를 거쳤습니다. 지난주 초, 회사는 이전 답변에는 각 키 세트가 어떤 스크립트 경로를 사용했는지를 포함하여 팀이 지금까지 수집한 내용만 반영되었다고 말했습니다.
스크립트는 해당 키를 단축하지 않았으며 모든 서명은 여전히 인증된 키를 확인합니다. 그러나 비공개 지수 및 소수 중 하나와 같은 비공개 부분은 의식 컴퓨터의 Python 프로세스 메모리에 남아 있습니다.
결과적으로 회사는 “이 키 자료가 HSM 안팎으로 키를 이동하는 데 대한 자체 규칙인 CPS §6.2.6을 준수했음을 긍정적으로 입증할 수 없습니다.” 해당 컴퓨터의 로그와 파일은 자료가 어떻게 처리되었는지 확실하게 보여줄 수 없습니다.
회사는 브라우저 루트 프로그램과의 논의를 거쳐 11월 초에 이러한 견해에 도달했습니다. 8개의 RSA CA는 10월 18일 처음 8개가 취소되었을 때 사용된 CA 손상 코드가 아닌 cessationOfOperation 이유 코드로 지난주 말에 취소되었습니다.
버그 스레드의 참가자들은 회사가 keyCompromise 대신 해당 코드를 선택한 이유를 물었습니다.
회사 인증서 목록에 있는 195개의 인증서 중 130개는 EM DV TLS CA – G2C에서, 63개는 EM OV TLS CA – G2C에서, 2개는 코드 서명 CA인 EM OV CS CA – G2C에서 나왔습니다.
회사 자체 도메인 외에도 인증서에는 여러 대학, 카운티 및 기타 조직의 이름이 나와 있습니다. 최신 버전은 CA가 취소되기 며칠 전인 지난주에 발행되었습니다. 모든 보유자는 새로운 인증서로 옮겨졌다고 회사는 말합니다.
회사는 랩 앤 언랩 프로세스가 이번 한 번만 사용되었으며 다른 주요 행사에서는 모두 키를 생성했다고 밝혔습니다.
버그 스레드의 참가자도 스크립트 게시를 원하고 일부는 개인 키가 어떻게 HSM을 떠날 수 있는지 질문했습니다.
회사가 독립 검토자로 고용한 KPMG는 12월 4일까지 완료될 예정입니다. 회사의 모든 CA 키 재고는 11월 30일까지입니다.
회사에서는 부정사용 사례가 없음을 알고 있습니다. Mozilla의 키를 조사한 Dennis Jackson이 운영하는 공개 사이트에 따르면 10월 키 중 하나를 보유한 사람은 누구나 웹 사이트를 가장할 수 있다고 합니다.
인증서 투명성을 시행하는 브라우저는 속일 수 없습니다. 해당 검사를 건너뛰는 소프트웨어에 대해 누군가가 키를 사용했는지 여부는 알려져 있지 않습니다.
emSign 인증서 보유자가 확인해야 할 사항
emSign 브랜드로 인증서를 판매하는 eMudhra는 10월 22일 발표 이후 공개적으로 신뢰받는 TLS 사업을 종료합니다.
보유자는 회사 목록에서 또는 취소된 G2C TLS 발급자에 대한 인증서 투명성 로그를 검색하여 영향을 받는 인증서를 찾을 수 있습니다.
회사 G1 계층의 모든 발행은 북미 지역의 대학 연맹을 중심으로 하는 나머지 고객이 다른 공급업체로 이동함에 따라 11월 16일 이전에 중단될 예정입니다.
이번 주 초 보안 대응 게시물 업데이트에 따르면 Microsoft는 11월 16일부터 emSign Root CA – G1을 포함하여 나머지 10개의 eMudhra 루트 제거를 시작할 예정입니다. 해당 루트에 연결되는 인증서는 Windows 및 Edge와 자체 일정에 따른 일부 다른 제품에 대한 기본 신뢰를 잃게 됩니다.
인도 회사의 단계적 폐지 일정에 따르면 크롬과 파이어폭스는 11월 16일 이후 발급된 G1 인증서를 신뢰하지 않을 것이며, 애플은 11월 30일 이전 인증서를 포함한 모든 G1 인증서에 대한 신뢰를 종료할 예정이다.
Apple은 이번 주 초 지원 노트를 통해 macOS 27.2.1, 26.7.3 및 15.8.3에서 컬 및 git과 같은 번들 명령줄 도구가 손상된 TLS CA 인증서를 수락하지 못하도록 한다고 밝혔습니다. 또한 /etc/ssl/cert.pem에서 emSign Root CA – G1을 포함한 5개의 루트를 삭제하므로 해당 파일에 의존하는 도구는 해당 파일에 연결된 일부 사이트를 확인하지 못할 수도 있습니다.
