eMudhra, CA 서명키 침해 뒤 글로벌 TLS 사업 철수

eMudhra의 TLS 사업 철수가 인증서 신뢰 연쇄와 기업 전환 부담을 드러내다

• eMudhra는 2026년 10월 22일 8개 중간 인증기관의 개인키 침해 뒤 글로벌 SSL/TLS 인증서 사업에서 자발적으로 철수한다고 밝혔다.
• 이 사건은 약한 키가 생성된 8개 중간 인증기관에서 비롯됐으며 eMudhra는 인증서를 Sectigo로 바꾸고 G1 루트는 과도기 동안 유지한다.
• 영향 규모는 8개 중간 인증기관·2026년 10월 17일 신고·10월 22일 철수 결정이며, eMudhra는 인증서 교체와 폐기 서비스를 만료 때까지 지원한다.
• 이에 따라 직접 영향 대상은 eMudhra의 글로벌 TLS 고객과 8개 중간 인증기관이며, Java 키 저장소·컨테이너 이미지·상호 TLS·프록시·VPN·보안 장비·임베디드 기기도 점검 대상이다.
• 그 결과 Mozilla는 emSign ECC Root CA-G3를 제거했고 Google은 10월 27일 Chrome Root Store에서 신뢰를 중단해, Gartner는 G1을 최종 목적지가 아닌 임시 다리로 보라고 권고했다.
• 한국 기업은 외부 인증서 판매자만 확인해서는 부족하며, eMudhra·Sectigo·중간 인증기관·루트 인증서와 비브라우저 신뢰 저장소를 함께 관리해야 공급망 위험을 줄일 수 있다.

정부는 공공·핵심 인프라의 인증서 계층과 비브라우저 신뢰 저장소를 목록화하고, 독립 인증기관 전환 기한과 상호 TLS 검증을 조달 기준에 반영해야 한다.

주요 용어: TLS 인증서(웹 통신 상대를 확인하고 암호화하는 전자증명서), 중간 인증기관(최종 인증서를 발급하는 신뢰 계층), 루트 인증서(브라우저가 최상위로 신뢰하는 인증서)

출처: Csoonline