인도 정부 사이트들이 폐기된 eMudhra 인증서를 계속 제공 중

eMudhra가 인증서를 폐기한 뒤에도 인도 정부 사이트 수백 곳이 며칠간 해당 인증서를 계속 제공했으며, 본문 집계에서는 정부 도메인 이름 894개가 이에 해당함 이번 사태에는 G3 중간 CA 개인키 복구 취약점과 별개의 G1 인증서 9,356개 폐기가 겹쳐 있음. G1 루트 자체는 브라우저가 여전히 신뢰함 브라우저별 폐기 확인 방식에 따라 접속 결과가 달라짐. 조사 당시 Firefox는 해당 사이트를 차단했지만 Chrome, Edge, Android에서는 정상적으로 로딩됨 MeitY는 영향이 제한적이고 짧았다고 밝혔지만, 산하 기관과 CA 규제기관 사이트도 폐기된 인증서를 계속 제공한 사례에 포함됨 집계 범위와 시점에 주의해야 함. 본문 수치와 10월 24일 업데이트 수치가 다르며, 무응답 도메인이 실제로 어떤 인증서를 제공하는지는 확인되지 않음 G3 개인키 취약점과 G1 인증서 대량 폐기 G3 개인키 문제와 G1 대량 폐기는 서로 다른 사건임 2026년 10월 17일, emSign ECC Root CA - G3로 연결되는 중간 CA 8개의 개인키를 매우 쉽게 복구할 수 있는 문제가 발견됐고, 해당 중간 CA 인증서는 다음 날 폐기됨 별도로 10월 19일에는 RSA 계열인 emSign Root CA - G1의 인증서 9,356개가 “Superseded” 사유로 폐기됨. 이 집합은 eMudhra의 CP/CPS가 요구하는 인증서 유형 정책 OID가 빠진 미만료 인증서 전체와 일치함(Mozilla Bug 2082782) 인증서 폐기 이후 교체가 완료되지 않은 정부 사이트가 다수 확인됨 본문 집계의 정부 도메인 이름 2,976개 중 894개는 폐기된 인증서를 제공하고, 810개는 새 인증서로 교체했으며, 나머지는 응답하지 않음 MeitY 산하의 STPI, Bhashini, UIDAI, India PKI도 포함됨. India PKI를 운영하는 Controller of Certifying Authorities는 인도에서 eMudhra의 CA 사업을 규제하는 기관임 10월 24일에도 비자 사이트 indianvisaonline.gov.in, 출입국 관련 boi.gov.in, 장학금 사이트 nsp.gov.in 등이 폐기된 인증서를 제공함 브라우저에서 열려도 폐기된 인증서일 수 있음 Firefox의 CRLite는 모든 폐기 내역을 포괄하므로 해당 사이트 로딩을 거부함 Chrome의 CRLSet 버전 10856(10월 24일)...