# eMudhra 가 SSL/TLS 인증서 사업에서 퇴출되며, 본래 추측 불가능한 비밀키에 불과 1 바이트의 값만 사용했다는 사실이 밝혀졌습니다.

> https://bookfactory.kr/board/news/23562
> 게시판: 뉴스
> 작성자: tachikoma43
> 작성일: 2026-10-24T05:10:23.978Z

---

인도의 디지털 보안 기업 'eMudhra' 가 2026 년 10 월 22 일 세계范围的 SSL/TLS 인증서 사업에서 퇴출한다고 발표했습니다. eMudhra 는 8 개의 중간 인증 기관의 비밀 키가 쉽게 추측될 수 있는 상태였음이 드러났으며, Google 과 Mozilla 등이 문제 있는 인증서를 무효화하는 조치를 취했습니다. eMudhra to Exit global SSL/TLS Certificate Businesshttps://emudhra.com/en/press-release/emudhra-to-exit-global-ssl-tls-certificate-business

웹사이트와 사용자 간에 안전하게 통신하려면 통신 내용을 암호화하는 SSL/TLS 라는 메커니즘이 사용됩니다. SSL/TLS 인증서는 웹사이트의 신원을 확인하는 역할을 하며, 인증 기관(CA) 이라는 조직이 발행합니다. 인증 기관이 인증서를 발행할 때는 중요한 데이터인 '비밀 키' 가 사용됩니다. 인증 기관의 비밀 키가 제 3 자에게 알려지면 위조 인증서가 발행되어 정당한 웹사이트를 위장할 위험이 있습니다.

eMudhra 는 2025 년 4 월에 생성된 8 개의 중간 인증 기관의 비밀 키에 문제가 있었습니다. 문제의 비밀 키는 생성 당시의 결함으로 인해 모두 1 바이트로 표현 가능한 매우 작은 수치가 되었으며, '4', '56', '66', '115', '155', '156', '230', '237' 이라는 8 개의 키가 침해되었다는 것이 밝혀졌습니다. eMudhra 에서 침해된 8 개의 인증 기관의 모든 비밀 키는 놀랍게도 '1 바이트'로만 표현되었으며, 그 중 하나의 비밀 키는 '4'였습니다. Mozilla, Microsoft, Apple, Chrome 의 루트 프로그램 및 많은 하류 신뢰 저장소들이 신뢰하는 루트 인증서에 연쇄적으로 연결되었습니다. - GIGAZINE

2026 년 10 월 17 일 보안 연구자로부터 문제가 보고됨에 따라 Google 과 Mozilla 등은 해당 중간 인증 기관의 인증서를 신뢰하지 않도록 대응 조치를 취했습니다. Google 은 영향을 받은 루트 인증서 'emSign ECC Root CA - G3'를 Chrome 의 신뢰할 수 있는 인증서 목록에서 제거하는 것을 결정했으며, 이 변경사항이 정식 버전 Chrome 에 반영될 예정은 2026 년 10 월 27 일 이후입니다. 해당 루트 인증서를 사용하는 웹사이트에서는 다른 인증서로 전환해야 합니다. eMudhra 는 문제가 드러난 후 14 시간 이내에 영향을 받은 인증 기관의 인증서를 무효화했다고 설명했습니다. 또한, 문제의 중간 인증 기관은 일반 웹사이트 등용인을 발급하지 않았으며, 내부 시스템의 불법 침입이나 데이터 유출도 확인되지 않았다고 밝혔습니다. 한편, 이번 문제 이후 eMudhra 는 SSL/TLS 인증서 사업 자체에서 퇴출할 것을 결정했습니다. eMudhra 의 Venkataraman Srinivasan 회장에 따르면, 글로벌 SSL/TLS 인증서 사업은 회사의 매출에서 약 1% 를 차지한다고 합니다. 무료 인증서 발급 서비스와의 경쟁과 함께 각국의 규제 대응 비용이 증가하면서 사업의 수익성이 저하되었음을 설명했습니다.

또한 비밀키 문제가 SNS 등에서 널리 제기됨에 따라 사업 규모에 비해 과도한 감시와 비판을 받는 상황에 이르렀고, eMudhra 의 이사회는 논의 끝에 SSL/TLS 인증서 사업에서 퇴출이 회사와 주주에게 적절하다고 판단했다고 합니다. SSL/TLS 인증서 사업에서 퇴출함에 따라 기존 고객에 대한 인증서 교체 지원도 진행됩니다. eMudhra 는 "G1 RSA" 계열의 루트 인증서를 통한 서비스를 종료 완료까지 유지할 것이며, 영향을 받는 고객에게 파트너사가 발행하는 대체 인증서를 무료로 제공할 계획입니다. 인증서 만료 정보를 확인하는 서비스도 발행된 인증서가 모두 만료되거나 교체될 때까지 운영을 계속할 예정입니다. eMudhra 는 향후 전자 서명 서비스와 기업용 인증서 관리, 본인 확인 등 다른 사업에 집중할 방침을 밝혔습니다. 세계용 SSL/TLS 인증서 사업과 기타 서비스는 별도의 인프라로 운영되고 있으므로 전자 서명 서비스 'emSigner'나 인증서 관리 플랫폼 'CertiNext' 등에 영향은 없으며, 정상적으로 서비스를 계속 제공할 것이라고 설명했습니다. 또한 eMudhra 는 이번 문제에 대해引き続き 원인을 조사하고 브라우저 개발사들에게 상세한 원인 조사 보고서를 제출할 예정이라고 합니다.

[원문 보기](https://gigazine.net/news/20261023-emudhra-exit-ssl-tls/) | 출처: Gigazine