마이크로소프트(MS)가 10월 26일 윈도우에서 이뮤드라 인증서를 신뢰 목록에서 빼는 정기 외 업데이트를 내놓았다. 윈도우 11 24H2·25H2·26H2용은 KB5134133, 윈도우 10 21H2·22H2용은 KB5134125다.
발단은 인증기관 이뮤드라의 중간 인증서 8개에 쓰인 개인 키가 극히 취약했다는 점이다. 2025년 4월에 만들어진 이 키들은 256 미만의 값으로 생성돼, 256가지만 대입해 보면 누구나 복원할 수 있었다. 공격자가 정상 웹사이트를 사칭하는 위조 인증서를 만들어 암호화 통신을 가로챌 수 있는 상황이었다.
이뮤드라는 해당 중간 인증서 8개를 폐기했고, 모질라와 구글, 애플 등도 폐기에 나섰다. MS는 이미 이 인증서들을 윈도우의 차단 인증서 목록에 넣었으며 에지와 웹뷰2에는 CRLSet 업데이트를 배포했다.
이번 업데이트는 이뮤드라 G3 루트 6개와 AAA 인증 서비스 교차 서명 1개, 모두 7개를 윈도우 신뢰 목록에서 제거한다. 중간 인증서 폐기보다 범위가 넓은 조치로, 이뮤드라가 발급한 다른 인증서를 검증하는 루트까지 신뢰하지 않게 된다. MS는 10월 27일 같은 7개를 에지 신뢰 목록에서도 뺀다고 밝혔다.
주 대상은 인증서 신뢰 목록을 자동으로 받지 못하는 시스템이다. 인터넷에 연결되지 않은 장비나 마이크로소프트 업데이트 서비스에 닿지 못하는 장비, 자동 갱신을 끈 장비가 해당한다. 관리자는 이런 윈도우에 업데이트를 설치하고, 제거된 루트에 의존하는 인증서를 파악해 교체해야 할 수 있다.
MS는 호환성 때문에 필요한 조직이 자체 보안 평가를 거쳐 개별적으로 신뢰를 지정할 수 있다고 안내했다. 나머지 이뮤드라 루트는 계속 조사 중이며 추가 조치가 있을 수 있다고 덧붙였다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.