암호화폐 거래 봇과 거래소 애플리케이션이 인도 인증기관 이무드라(eMudhra)의 인증서 보안 결함에 아직 노출돼 있을 수 있다는 경고가 나왔다. 구글, 애플($AAPL), 마이크로소프트($MSFT) 등이 문제 인증서를 차단했지만, 브라우저 바깥에서 작동하는 소프트웨어까지 보호하지는 못할 수 있다는 지적이다.
왕페이위(Peiyu Wang) 블록체인 보안업체 서틱(CertiK) 디지털자산 보안 시니어 디렉터는 코인텔레그래프에 이같이 밝혔다. 빅테크는 20일까지 이무드라가 발급한 취약 인증서 8건을 차단했다. 이 조치만으로는 별도의 보안 체계를 쓰는 가상자산 애플리케이션까지 보호되지 않을 수 있다는 것이 왕페이위의 설명이다.
왕페이위는 "주요 브라우저의 차단은 이를 수신해 적용하는 클라이언트의 위험을 상당히 줄인다"고 말했다. 이어 "브라우저 생태계 밖의 일부 애플리케이션은 인증서 투명성(Certificate Transparency)을 강제하지 않거나 같은 폐지 보호를 받지 못한다"고 덧붙였다. 인증서 투명성은 발급된 인증서를 공개 기록과 대조해 검증하는 체계다. 거래 봇이나 거래소 앱처럼 브라우저와 따로 움직이는 소프트웨어가 차단의 보호 밖에 놓일 수 있다는 뜻이다.
왕페이위는 가상자산 서비스가 다른 산업보다 본질적으로 이 결함에 더 취약한 것은 아니라고 강조했다. 다만 공격자가 침해된 인증서를 악용하면 거래소, 지갑 인터페이스, API가 쓰는 HTTPS 연결을 사칭할 수 있다고 설명했다. HTTPS는 이용자와 서비스 사이의 통신을 암호화하고 접속 대상이 진짜임을 보증하는 방식이다.
왕페이위가 꼽은 구체적 위험은 △입금 주소 바꿔치기 △이용자의 악성 거래 승인 유도 두 가지다. 이런 공격이 성립하려면 이용자의 인터넷 트래픽을 가로채거나 다른 곳으로 돌리는 과정이 필요하다. 왕페이위는 침해된 인증기관 키만으로는 지갑 개인키가 노출되지 않는다고 설명했다.
이번 사안은 이무드라가 발급한 TLS 인증서 8건의 개인키 강도가 약해 웹사이트 사칭 위험이 제기된 것에서 출발했다. 개인키는 디지털 인증서 기반 전자서명 체계에서 서명의 신뢰를 떠받치는 핵심 정보다. 이후 코인데스크는 21일 이무드라의 비밀키 8개가 침해됐고 브라우저와 소프트웨어 업체들이 수정 조치를 서두르고 있다고 보도했다.
서틱은 빅테크의 차단 조치로 브라우저를 통한 접속 위험은 줄었다고 평가했다. 왕페이위는 가상자산 사업자에게 소프트웨어와 인증서 신뢰 저장소를 최신 상태로 갱신하고, 자사 애플리케이션이 영향받은 인증서를 실제로 거부하는지 검증하라고 촉구했다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular