인도 인증기관 eMudhra가 개인 키를 쉽게 추측할 수 있는 중간 인증서 8개를 발급했다. 네트워크 경로에서 트래픽을 가로챈 공격자는 이를 악용해 웹사이트나 소프트웨어의 출처를 사칭할 수 있어, 운영체제와 각종 소프트웨어의 업데이트가 필요하다.

문제가 된 인증서는 TLS용 중간 인증서 6개와 코드 서명용 중간 인증서 2개다. 이 인증서들의 개인 키는 1바이트에 불과해 0부터 255 사이의 값만 대입하면 알아낼 수 있었다. 인증서 체인의 신뢰를 이용하면 공격자가 네트워크 연결을 가로채 웹사이트를 사칭하거나, 내려받은 프로그램을 마이크로소프트나 구글이 제공한 것처럼 보이게 할 수 있다. 이번 일이 어떻게 발생했는지는 조사 중이다.

운영체제와 애플리케이션은 신뢰하는 인증기관 목록을 관리하며, 브라우저는 신뢰하지 않는 인증서를 확인하는 목록도 사용한다. 대응 방법으로는 문제의 중간 인증서 8개를 폐기하거나, 영향을 받은 루트 인증서를 제거하거나, 해당 키 8개를 거부하도록 설정하는 방안이 제시됐다.

최근 버전의 Chrome, Brave, Firefox, Safari는 인증서 발급 내역을 공개 로그와 대조하는 인증서 투명성(Certificate Transparency)을 적용한다. Google은 영향을 받은 중간 인증기관 6곳이 서명한 인증서가 로그에 기록되지 않았다고 밝혔다. 따라서 일반적인 웹 탐색만 했다면 안전할 수 있지만, 소프트웨어 업데이트는 확인해야 한다.

업데이트 대상에는 PC와 서버뿐 아니라 운영체제, 휴대전화, 태블릿, 라우터, 브라우저, 가상 머신, 컨테이너, Python·Go·Node.js·Rust 같은 프로그래밍 언어와 curl 같은 다운로드 도구도 포함될 수 있다. 오래된 라우터와 스마트·IoT 기기, 구형 컴퓨터는 업데이트가 제공되지 않을 경우 문제가 될 수 있다.

기술 세부 사항과 Mozilla 버그 보고서