애플이 유출된 eMudhra 인증서를 자동 차단한다

애플은 eMudhra 중간 인증기관의 개인 키 유출로 영향을 받은 TLS 인증서 12개를 2026년 10월 19일부터 애플 기기에서 자동 차단하고 있다. Safari, Mail, 애플 네트워킹·보안 프레임워크를 사용하는 앱에는 별도 조치가 필요 없지만, 일부 Mac 명령줄 도구는 향후 소프트웨어 업데이트 전까지 인증서를 받아들일 수 있다.

유출된 인증서와 애플의 대응

eMudhra가 운영하는 중간 인증기관 8곳의 개인 키가 유출됐다. 이 가운데 2곳은 코드 서명 인증서를 발급하며 애플 프레임워크는 이를 신뢰하지 않는다. 나머지 6곳은 TLS 인증서를 발급해, 해당 키를 가진 사람이 어떤 웹사이트에도 유효한 것처럼 보이는 인증서를 만들 수 있었다. eMudhra와 Sectigo는 영향을 받은 인증서를 폐기했다.

6개 TLS 중간 인증기관마다 인증서가 2개씩 있어 총 12개다. 인증서 중 하나는 emSign Root TLS CA - G3를 거치고, 다른 하나는 Sectigo가 교차 서명한 인증서로 AAA Certificate Services를 거친다. 영향을 받은 인증서 12개 목록을 확인할 수 있다.

애플은 2026년 10월 19일 기기에서 해당 인증서 12개를 차단하기 시작했다. 인증서 설정 데이터는 필요에 따라 기기에 자동 전송되므로 소프트웨어 업데이트를 설치할 필요가 없다. 애플은 차단 내용을 추가로 업데이트하고 있으며, 이 업데이트도 자동으로 전달된다. 10월 23일부터는 emSign ECC Root CA - G3도 차단하기 시작했다.

Mac 명령줄 도구를 사용하는 경우

터미널을 작업에 사용하지 않는다면 별도 조치를 할 필요가 없다. 다만 Mac에 포함된 일부 명령줄 도구와 Xcode Command Line Tools의 도구는 /etc/ssl/cert.pem을 기준으로 인증서를 확인한다. 여기에는 curl, git, python3, ruby, perl, openssl이 포함된다. 이 파일을 사용하는 도구는 애플의 차단 여부나 인증서 폐기 여부를 확인하지 않을 수 있으며, 파일은 향후 macOS 업데이트에서 갱신될 예정이다.

업데이트를 기다리지 않으려는 관리자는 해당 파일에서 차단된 인증서가 연결되는 루트 인증기관 인증서를 제거할 수 있다. 이 조치는 /etc/ssl/cert.pem을 사용하는 모든 도구에 영향을 준다. 영향을 받지 않은 중간 인증기관을 거쳐 같은 루트 인증기관에 연결되는 일부 웹사이트의 인증서를 확인하지 못할 수 있다.

아래 명령을 실행하려면 관리자 계정이 필요하며, 기기 관리 솔루션으로 배포할 수도 있다. 명령은 원문 그대로 복사해야 한다. 터미널에 붙여넣을 때 악성 소프트웨어 가능성 경고가 표시되면 대응 방법을 확인할 수 있다.

• 먼저 파일을 백업한다. 백업 파일이 이미 있으면 기존 파일을 유지한다.

[ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

• emSign ECC Root CA - G3를 제거한다. 명령이 성공하면 아무것도 표시하지 않는다.

t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

• 선택 사항으로 AAA Certificate Services도 제거할 수 있다. emSign ECC Root CA - G3만 제거해도 Sectigo가 교차 서명한 6개 인증서는 도구가 AAA Certificate Services를 통해 확인할 수 있기 때문이다. 이 명령은 2단계와 같은 방식으로 작동한다.

t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

• 제거 결과를 확인한다. 아래 명령은 두 루트 인증기관 인증서 중 파일에 남아 있는 것을 표시한다. 둘 다 제거했다면 아무것도 표시하지 않는다. 오류가 나오면 첫 단계의 백업을 복원한다.

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

macOS 업데이트가 /etc/ssl/cert.pem을 애플 버전으로 교체할 수 있다. 애플의 변경 사항이 포함된 업데이트를 설치하기 전까지는 각 소프트웨어 업데이트 뒤에 4단계 명령을 실행한다. 제거한 루트 인증기관 인증서가 다시 표시되면 파일이 교체된 것이다. 이때 다음 명령으로 이전 백업을 삭제한 뒤 앞의 절차를 반복한다.

sudo rm /etc/ssl/cert.pem.orig

애플의 변경 사항이 포함된 업데이트를 설치한 뒤에는 macOS 또는 Xcode Command Line Tools에 포함된 명령줄 도구에 대해 이 절차를 반복할 필요가 없다. 자체 루트 인증기관 목록을 사용해 애플의 차단이나 /etc/ssl/cert.pem을 따르지 않는 앱과 도구는 해당 개발자에게 문의해야 한다. 개발자 연락 안내

차단된 인증서 지문