요약:
지난주 인도 Caotai Company의 eMudhra 인증서 개인키 문제가 업계 전체의 관심을 끌었습니다. 회사에서 발행한 8개의 중간 CA 인증서는 모두 취약한 키를 사용했습니다. 그 중 EM OV TLS CA-G3C 인증서의 개인키는 숫자 4로만 과장돼 누구나 이 인증서를 이용해 다른 도메인 이름에 대한 하위 인증서를 발급할 수 있다.
그러나 이러한 문제가 있는 인증서는 브라우저와 운영 체제에 의해 폐기되었습니다. 그러나 일부 장치에서는 인증서 해지 목록을 확인하지 않거나 업데이트를 얻지 못할 수도 있습니다. 해지된 인증서는 여전히 신뢰할 수 있으며, 발급에 사용된 하위 인증서도 계속 사용할 수 있습니다.
그래서 매니아들은 Google 도메인 이름에 대해 106,000개의 인증서를 발급했습니다.
eMudhra를 사용하여 모든 도메인 이름에 대한 인증서를 발급하는지 테스트하려면 첫 번째 선택 도메인 이름은 물론 Google입니다(국내 사용자가 Baidu를 열어 인터넷에 연결되어 있는지 확인하는 것처럼). 따라서 현재 CT 인증서 투명성 로그에는 열성팬이 Google의 기본 도메인 이름인 Google.com에 대해 최대 106,000개의 인증서를 발급한 것으로 기록되어 있습니다.
현재 인증서 투명성 로그에는 107,000개의 발급 기록이 기록되어 있으며, 그 중 99%가 Google 도메인 이름을 테스트 개체로 사용하고 있습니다. 이러한 인증서는 CA 공개키로 인증할 수 있으나, 중간 인증서는 브라우저에 의해 폐기되었기 때문에 실제 접근은 차단됩니다(폐기 기록을 확인할 수 없는 경우).
내가 발급한 인증서를 CT에 기록할 수 있는 이유:
인증서 발급과 CT 로그 등록은 서로 다른 프로세스이므로 정상적인 상황에서는 CA가 도메인 이름 제어를 확인한 후 중간 CA 개인 키를 사용하여 인증서를 발급합니다. 유출된 개인 키를 가진 사람은 로컬에서 인증서를 생성하고 DNS 이름 필드에 도메인 이름을 쓴 다음 개인 키를 사용하여 서명할 수 있습니다.
RFC 9162에서는 누구나 CT 로그에 인증서를 제출하고 로그 검사를 위해 인증서 체인을 연결할 수 있다고 규정합니다. CT 로그는 CA 발급 상태의 외부 검토를 위해 인증서를 기록하고 공개하는 역할을 담당하며 CA에 대한 도메인 이름 제어 권한을 검토하는 역할은 담당하지 않습니다. 따라서 매니아는 증명서 발급시 CT로그에 제출하면 확인할 수 있다.
댓글