eMudhra CA 개인키, 단 숫자 '4'였다
원제: Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds
왜 중요한가
인증서 구조 검사를 통과하는 결함이 가능하다는 사실은 CA 생태계 전반의 키 생성 검증 체계의 허점을 드러낸다.
2026년 10월 17일(토), 보안 연구자가 인도 인증기관 eMudhra의 중간 CA 인증서 8개의 개인키가 노출됐음을 Apple·Google·Microsoft·Mozilla·eMudhra에 신고했다. 문제의 P-384 개인키 값은 4, 56, 115 등 1바이트(최대 256가지) 수준으로, 연구자 Scott Helme이 노트북에서 1초 미만에 전수 복호화에 성공했다.
보안 연구자 Scott Helme이 10월 20일 공개한 분석에 따르면, eMudhra의 중간 CA 8개 인증서 개인키 값이 사실상 한 자릿수에 가까운 소수에 불과했다. P-384 곡선 기반 개인키는 정상적으로 384비트 무작위 수(약 10¹¹⁵가지 경우의 수)여야 하지만, eMudhra의 키는 47바이트가 모두 0x00이고 마지막 1바이트에만 값이 있는 구조였다. 경우의 수는 겨우 255개. Helme은 1×G부터 255×G까지 순차 계산하는 방식으로 전 키를 즉시 복원했다.
해당 인증서는 2025년 4월 생성된 TLS용(DV·OV·EV 각 2세대)과 코드사이닝용 CA 2개로 구성된다. 같은 해 5월에는 Sectigo의 AAA Certificate Services 루트로 교차 서명도 이뤄졌다. 복원된 개인키 값은 DV G3B=156, G3C=230, EV G3B=115, G3C=56, OV G3B=155, G3C=4, 코드사이닝 G3B=66, G3C=237이다.
신고 당일 저녁 Chrome은 CRLSet 업데이트로 해당 인증서를 차단했고, Mozilla는 수 시간 후 OneCRL에 추가했다. 10월 20일 Mozilla는 NSS 업데이트를 통해 eMudhra 루트 자체를 제거했으며, Chrome도 Root Store v43에서 루트를 삭제할 방침을 확인했다.
연구자 Ian Carroll은 "단일 바이트 키는 누구나 인수분해할 수 있는 본질적으로 취약한 키이며, 그 피해 범위는 봉쇄될 수 없다"고 지적했다. 인증서 구조 자체는 정상 P-384 포인트이기 때문에 자동화된 린팅 도구로는 탐지가 불가능하고, 해당 CA가 발급한 모든 인증서가 잠재적으로 위조 가능 상태였다는 점이 핵심 위험이다.