eMudhra 위조 인증서 포착, 앱 속 브라우저 패치는 더뎌

Cloudflare가 10월 30일 공개한 후속 보고서에서 eMudhra 위조 인증서의 사용 흔적과 내장 브라우저의 패치 지연을 전했습니다. 최신 브라우저를 쓰더라도 앱 안에서 웹페이지를 여는 구성요소까지 업데이트됐다고 단정할 수는 없습니다.

위조 인증서는 나왔지만, Cloudflare 연결 가로채기 증거는 없어

Cloudflare는 외부 서버와 TLS 연결을 맺는 Pingora에 기록 기능을 추가하고 10월 21일 배포를 마쳤습니다. 보고서 작성 시점까지 취약한 eMudhra 키로 서명된 인증서를 제시한 연결 시도는 약 2만 2,000건이었습니다. 회사에 따르면 약 3분의 2는 테스트 사이트 접속이었고, 나머지 대부분도 서버 운영자가 자체 서버용으로 설정한 인증서를 제시한 경우로 보였습니다.

이 가운데 약 160건은 인증서에 접속 대상과 무관한 다른 조직의 도메인이 적혀 있었습니다. 다만 Cloudflare는 이 인증서들이 서버의 기본 인증서처럼 보였으며, 접속하려던 도메인과 이름이 맞지 않아 호스트 이름 검증도 통과할 수 없었다고 설명했습니다.

위조 인증서 중 하나에는 Mozilla의 버그 보고서가 공개되고 한 시간도 지나지 않은 시각이 적혀 있었습니다. Cloudflare는 자사 연결이 가로채였다는 증거를 아직 찾지 못했다고 밝혔지만, 특정 대상을 정밀하게 노린 가로채기 가능성까지 배제하지는 않았습니다. 다른 곳에서도 피해가 없었다는 뜻은 아닙니다.

웹뷰 패치 지연은 어떤 표본에서 나왔나

Cloudflare는 일부 챌린지 페이지, 즉 보안 확인 화면에서 시험 연결 두 개를 보내 취약한 인증서 체인을 여전히 받아들이는지 살폈습니다. 일주일 동안 약 5,000만 건의 시험이 이뤄졌지만, 이는 고유 이용자나 기기 수가 아닙니다.

Cloudflare에 따르면 최신 브라우저는 대체로 패치된 반면, Android WebView 같은 내장 브라우저의 측정 트래픽에서는 30~40%가 취약한 인증서 체인을 여전히 받아들였습니다. 다만 자바스크립트를 실행하는 클라이언트만 참여했고, 봇으로 추정되는 트래픽이 많이 섞인 표본입니다. 이 비율을 전체 안드로이드 기기나 앱의 취약 비율로 넓혀 말할 수는 없습니다.

브라우저별 그래프와 네트워크별 그래프는 모두 봇 신호 탐지 여부에 따라 나뉩니다. 측정 중 관측 공백과 인증서 체인·표본 비중 변경이 있었고, 10월 29일에는 봇 탐지 변경으로 일부 트래픽의 분류도 달라졌습니다. 그래프의 선이 내려간 부분이 모두 실제 패치 효과를 뜻하는 것은 아닙니다.

브라우저 밖에서 쓰는 구성요소도 업데이트하세요

이용자는 공식 업데이트 경로에서 브라우저와 운영체제, 앱의 업데이트를 확인하는 것이 좋습니다. 해당하는 기기에서는 Android System WebView 업데이트도 함께 살펴보세요.

서비스 운영자는 실제 사용하는 소프트웨어가 어떤 인증서 신뢰 저장소를 쓰는지 확인해야 합니다. 브라우저 쪽 조치만으로 명령줄 도구나 앱까지 같은 보호를 받는다고 가정하지 말고, Cloudflare 제품을 사용한다면 원문에 연결된 제품별 대응 안내도 참고하세요.