이무드라 인증서 8건 차단에도 거래 봇 노출 가능성…서틱 경고

본문

구글·애플·마이크로소프트가 20일까지 이무드라 인증서 8건을 막았지만, 서틱은 브라우저 밖에서 쓰는 가상자산 소프트웨어는 같은 보호를 받지 못할 수 있다고 지적했다. 암호화폐 거래 봇과 거래소 애플리케이션이 인도 인증기관 이무드라(eMudhra)의 인증서 보안 결함에 아직 노출돼 있을 수 있다는 경고가 나왔다. 구글, 애플($AAPL), 마이크로소프트($MSFT) 등이 문제 인증서를 차단했지만, 브라우저 바깥에서 작동하는 소프트웨어까지 보호하지는 못할 수 있다는 지적이다. 왕페이위(Peiyu Wang) 블록체인 보안업체 서틱(CertiK) 디지털자산 보안 시니어 디렉터는 코인텔레그래프에 이같이 밝혔다. 빅테크는 20일까지 이무드라가 발급한 취약 인증서 8건을 차단했다. 이어 "브라우저 생태계 밖의 일부 애플리케이션은 인증서 투명성(Certificate Transparency)을 강제하지 않거나 같은 폐지 보호를 받지 못한다"고 덧붙였다.

인증서 투명성은 발급된 인증서를 공개 기록과 대조해 검증하는 체계다.

거래 봇이나 거래소 앱처럼 브라우저와 따로 움직이는 소프트웨어가 차단의 보호 밖에 놓일 수 있다는 뜻이다. 왕페이위가 꼽은 구체적 위험은 △입금 주소 바꿔치기 △이용자의 악성 거래 승인 유도 두 가지다. 이번 사안은 이무드라가 발급한 TLS 인증서 8건의 개인키 강도가 약해 웹사이트 사칭 위험이 제기된 것 에서 출발했다. 이후 코인데스크는 21일 이무드라의 비밀키 8개가 침해됐고 브라우저와 소프트웨어 업체들이 수정 조치를 서두르고 있다고 보도했다 . 왕페이위는 가상자산 사업자에게 소프트웨어와 인증서 신뢰 저장소를 최신 상태로 갱신하고, 자사 애플리케이션이 영향받은 인증서를 실제로 거부하는지 검증하라고 촉구했다.