TLS 중간 인증서 8개 개인키 유출, 인터넷 비상
원제: The Internet goes on high alert after discovery of 8 compromised TLS certs
왜 중요한가
중간 인증서 개인키 노출은 인터넷 전체 신뢰 체계를 흔드는 사안으로, 단기 패치 이상의 광범위한 인프라 갱신을 요구한다.
2026년 10월 20일, 인도 인증기관 eMudhra Limited의 TLS 중간 인증서 8개 개인키가 취약한 설계로 노출돼 임의의 서버에 대해 신뢰된 인증서를 발급할 수 있다는 사실이 공개됐다. 브라우저 제조사들은 당일 오전 8개 인증서를 모두 차단했으나, IoT 기기와 Linux 배포판 등의 갱신은 장기 과제로 남았다.
보안 연구자가 운영하는 비공개 어드바이저리 사이트 emudhra.we-have-a-problem.com에는 "We have a problem here – Wayne"이라는 경고 메시지가 공개됐다. 이 메시지는 eMudhra 중간 인증서의 개인키로 디지털 서명돼 있어, 제3자가 해당 키를 이미 확보했음을 증명했다. 같은 키로 수백만 대의 서버가 신뢰하는 위조 인증서를 만들 수 있다는 의미다.
현재까지 Certificate Transparency 로그에서 해당 키를 악용해 발급된 인증서는 발견되지 않았다. 그러나 암호화 엔지니어이자 Go 언어 암호화 메인테이너인 Filippo Valsorda는 Ars Technica에 "이번 사태는 Heartbleed보다 훨씬 큰 정리 작업이 될 것"이라고 밝혔다. "IoT 기기, Docker 컨테이너, 방치된 Linux 머신, Python 생태계처럼 자체 루트를 탑재한 CLI 도구까지, 꼬리가 매우 길고 오래갈 것"이라고 덧붙였다.
2014년 Heartbleed 취약점은 OpenSSL 라이브러리의 결함으로 TLS 통신의 복호화와 개인키 탈취를 허용했다. 당시 수천 개 서버가 침해됐고, 패치·인증서 재발급·패스워드 로테이션·임베디드 기기 갱신 등 복구 작업에 수년이 걸렸다. Valsorda는 "이번엔 관련 당사자가 더 많고, 컨텍스트도 더 다양하다"며 장기화를 예고했다. eMudhra 인증서 개인키의 취약성 수준은 현재 분석 중인 엔지니어들도 쉽게 상상하기 어려운 수준인 것으로 알려졌다.