eMudhra, Mozilla 루트 프로그램 조사 답변 기한 무시하고 소셜 미디어 탓

eMudhra 중간 인증서 8개의 개인 키가 모두 256 미만 정수여서 사실상 즉시 복구할 수 있는 상태였음. Mozilla도 제보자의 방법을 모른 채 독립적으로 키를 복구해 키 생성 결함을 확인함 Mozilla의 조사 답변 기한과 eMudhra가 추가로 요청한 24시간이 모두 지난 10월 23일까지 답변이 도착하지 않음. 회사는 소셜 미디어의 집중 검증과 투자자/고객 대응 때문에 의미 있는 분석이 사실상 불가능했다고 해명함 eMudhra는 wrap/unwrap 테스트의 코드 결함으로 약한 키 쌍이 생겼고, 비슷한 키 라벨 때문에 인증서 서명 요청에 잘못 사용했다고 밝힘. 다만 약한 키가 실제로 어떻게 생성됐는지는 미해결 상태임 Mozilla는 중간 인증서 차단에 이어 emSign ECC Root CA - G3의 신뢰를 긴급 제거하기로 했으며 Chrome도 같은 경로를 택함. eMudhra는 해당 루트 아래 발급을 중단했고, 초기 추산으로 약 3만 개 인증서를 이전해야 함 eMudhra는 이후 글로벌 SSL/TLS 인증서 사업 철수를 발표했지만, 대체 발급 파트너와 이전 일정, 과거 인증서 폐기 목록 서명 오류 처리, HSM 사용 및 감사 기록에 관한 질문은 남아 있음 개인 키 복구와 초기 차단 2026년 10월 17일 Wayne은 CCADB 인증서 집합을 검사하다 EC 키 결함을 발견하고, 각 키를 통제한다는 서명 증명을 작성함 16:27 UTC에 결함을 발견했고, 반복 검증 후 18:05 UTC에 Apple, Chrome, Microsoft, Mozilla와 eMudhra에 보고함 Chrome은 20:03 UTC에 결과를 확인하고 Mozilla 담당자를 추가했으며, Apple도 21:05 UTC에 확인함 전체 CCADB 검사에서는 Sectigo의 교차 서명 인증서도 영향을 받는다는 사실을 확인하고 별도 서명 증명을 전달함 Mozilla는 Chrome 루트 프로그램이 전달한 신고를 20:06 UTC에 받고 20:08 UTC에 접수를 확인함 키 통제 증명을 검증한 뒤 Firefox의 OneCRL을 통한 신뢰 철회를 시작했고, Bug 2083382에서 추적한 작업은 22:59 UTC에 완료됨 21:48 UTC에는 제보자의 복구 방법을 모르는 상태에서 독립적으로 개인 키를 복구함 eMudhra는 21:28~21:29 UTC경 신고를 확인하고 조사 및 Sectigo 통보에 착수함 당시 G3B에서는 OCSP 외 발급이...