애플 차단 뒤에도 맥 명령줄 도구, 이무드라 인증서 신뢰 가능성

애플($AAPL)이 이무드라(eMudhra)의 침해된 TLS 중간 인증기관 인증서를 차단했지만, 맥에 기본 포함된 git·curl 등 일부 명령줄 도구는 여전히 해당 인증서를 받아들일 수 있다. 사파리(Safari)와 메일(Mail)에 적용된 차단이 터미널 도구에는 같은 방식으로 작동하지 않기 때문이다.

애플은 공식 안내에서 10월 19일부터 문제 중간 인증서 12종을 차단하기 시작했으며, 23일에는 emSign ECC Root CA - G3도 차단 대상에 추가했다고 밝혔다. 사파리와 메일, 애플의 네트워크·보안 프레임워크를 쓰는 앱은 별도 조치 없이 차단 정보를 적용받는다.

문제의 출발은 이무드라가 운영한 중간 인증기관 8곳의 개인키 침해다. 애플은 이 가운데 6곳이 웹사이트용 TLS 인증서를 발급했으며, 해당 키를 가진 공격자는 임의의 웹사이트에 유효한 것처럼 보이는 인증서를 만들 수 있었다고 설명했다.

애플은 macOS나 Xcode 명령줄 도구에 포함된 curl·git·python3·ruby·perl·openssl 등이 /etc/ssl/cert.pem을 확인한다고 밝혔다. 이 파일에는 애플의 차단 조치가 반영되지 않아, 이를 기준으로 인증서를 검증하는 도구는 문제 인증서를 받아들일 수 있다.

터미널을 작업에 사용하지 않는 일반 이용자는 별도 조치를 할 필요가 없다고 애플은 안내했다. 사파리와 메일 등 애플의 네트워크·보안 프레임워크를 사용하는 앱에는 차단이 자동 적용된다.

이무드라 사고 추적 사이트는 28일 게시물에서 애플이 17일 사고를 통보받았으며, 당시 맥에 기본 탑재된 git·curl·python3이 문제 인증서를 여전히 신뢰한다고 밝혔다. 26일 배포된 macOS 27.2도 문제를 해결하지 못했고, 사용자가 수동으로 적용한 대응을 되돌렸다고 설명했다.

연구 페이지는 공격자가 네트워크 경로에 있으면 해당 도구의 HTTPS 연결을 가로채는 중간자 공격을 할 수 있다고 경고했다. 이는 인증서 검증이 통과될 수 있는 조건에서 가능한 공격 경로를 설명한 것이다.

git을 HTTPS 원격 저장소에 연결해 쓰는 경우 코드 내려받기와 전송 과정이 영향을 받을 수 있다. 연구 페이지는 공격자가 clone·pull 과정에서 코드를 바꾸거나 push 내용을 변조하고, GitHub 토큰 같은 인증 정보를 가로챌 수 있다고 설명했다.

다만 연구 페이지가 제시한 것은 공격 가능 경로와 잠재적 영향이다. 맥 개발자의 코드나 인증 정보가 실제로 유출됐다는 사례를 이 페이지가 제시한 것은 아니다.

일부 앱과 도구는 자체 루트 인증서 목록을 사용하며 애플의 차단 정보나 /etc/ssl/cert.pem을 참조하지 않는다. 이런 프로그램은 시스템 인증서 파일을 수정해도 별도로 점검해야 한다.

파이썬 패키징 커뮤니티는 공지에서 certifi 2026.10.19와 pip 26.2.2 이상으로 업데이트할 것을 안내했다. pip 26.2.2보다 오래된 버전은 자체 포함된 certifi 인증서 목록도 사용하므로, 시스템의 신뢰 설정만 바꾸는 것으로는 충분하지 않다고 공지는 설명했다.

연구 페이지는 macOS 러너를 사용하는 CI·빌드 환경도 점검 대상으로 꼽았다. 가상자산 프로젝트가 맥에서 코드나 의존성 패키지를 내려받고 전송한다면, 브라우저에 적용된 차단만으로 해당 통신 경로까지 보호되는지 판단할 수 없다.

본지는 앞서 브라우저 바깥에서 작동하는 가상자산 거래 봇과 거래소 앱도 별도 인증 체계를 쓰면 위험에 노출될 수 있다는 경고를 보도했다. 이번 사안은 그와 같은 인증기관 사고에서 맥의 명령줄 도구가 사용하는 인증서 설정으로 문제가 이어진 경우다.

이더리움 노드 소프트웨어에서도 도구별 인증서 저장소가 변수로 지적됐다. 본지는 이더리움 노드 클라이언트 Teku와 Besu가 Docker 이미지의 인증서 신뢰 목록을 수정했다는 내용을 전한 바 있다.

애플은 관리자가 /etc/ssl/cert.pem에서 관련 루트 인증서를 제거하는 절차를 안내했다. 다만 해당 파일을 사용하는 다른 도구의 인증서 검증에도 영향을 줄 수 있다고 덧붙였다.

애플은 향후 macOS 업데이트에 명령줄 도구용 수정 사항을 반영할 예정이다. 수정이 적용되기 전에는 시스템 업데이트가 인증서 파일을 이전 상태로 되돌릴 수 있어, 업데이트 후 파일 상태를 다시 확인해야 한다.