애플 eMudhra 인증서 차단, Mac 일부 명령줄 도구는 예외

Safari·Mail을 이용하고 터미널을 쓰지 않는 일반 사용자는 파일을 수정할 필요가 없습니다. 다만 Mac에서 curl이나 git을 쓰는 개발자·관리자라면, 브라우저의 자동 차단이 해당 도구에도 적용된다고 생각해서는 안 됩니다.

Safari·Mail에는 이미 자동 차단

애플의 2026년 10월 23일 지원 문서에 따르면, eMudhra의 TLS 중간 인증기관 6곳의 개인 키가 유출됐습니다. 이 키를 가진 사람은 어떤 웹사이트용으로든 유효해 보이는 인증서를 만들 수 있습니다. 다만 이 문서가 실제 악용이나 사용자 피해까지 확인한 것은 아닙니다.

애플은 10월 19일부터 해당 중간 인증기관의 인증서를 Safari, Mail, 애플의 네트워크·보안 프레임워크를 쓰는 앱에서 차단해 왔습니다. 10월 23일에는 emSign ECC Root CA – G3도 차단하기 시작했습니다. 이 차단 정보는 소프트웨어 업데이트를 설치하지 않아도 기기에 자동으로 전달됩니다.

명령줄 도구가 다른 인증서 목록을 볼 때

macOS나 Xcode Command Line Tools에 포함된 curl·git 등 일부 명령줄 도구는 /etc/ssl/cert.pem으로 인증서를 확인합니다. 인증서가 이 파일에 든 루트 인증서로 이어지면, 이들 도구는 애플의 차단 목록이나 인증서 폐기 여부를 확인하지 않아 문제가 된 인증서를 계속 받아들일 수 있습니다.

애플은 이 파일을 수정하는 macOS 업데이트를 예고했지만, 버전과 배포일은 밝히지 않았습니다. 자체 루트 인증서 목록을 쓰며 애플의 차단 목록이나 이 파일을 이용하지 않는 앱·도구도 있습니다. 이런 도구를 이용한다면 해당 개발자에게 대응 방법을 문의해야 합니다.

업데이트를 기다릴 수 없는 관리자라면

기다릴 수 없는 관리자는 애플 지원 문서(https://support.apple.com/en-us/149555)의 전체 절차에 따라 관련 루트 인증서를 제거할 수 있습니다. 먼저 파일을 백업하고, 변경 결과를 확인하는 과정에서 오류가 나면 백업으로 복원해야 합니다. 일반 사용자가 /etc/ssl/cert.pem을 수정할 필요는 없습니다.

emSign ECC Root CA – G3만 제거하면 AAA Certificate Services로 이어지는 Sectigo 교차 서명 인증서 6개는 여전히 허용될 수 있습니다. AAA Certificate Services까지 제거하는 것은 선택 사항이며, 루트 인증서 삭제는 이 파일을 쓰는 모든 도구에 영향을 줍니다. 이번 유출과 무관한 중간 인증기관을 거치는 정상 사이트도 같은 루트에 연결돼 있다면 인증서 확인에 실패할 수 있습니다.

macOS 업데이트가 이 파일을 애플 버전으로 되돌릴 수도 있습니다. 애플의 수정 사항이 포함된 업데이트를 설치하기 전까지는 업데이트할 때마다 삭제한 루트 인증서가 다시 포함됐는지 확인해야 합니다. 다시 포함됐다면 공식 절차를 반복해야 합니다.