Cloudflare가 eMudhra 중간 인증서 8개에 연결된 개인키가 손상된 문제를 공개하고 관련 제품 업데이트를 안내했습니다. 중간 인증서는 서버 인증서의 신뢰 사슬을 구성하는 요소입니다. 이번 문제는 TLS 암호화 알고리즘 자체의 결함과 구분합니다. Cloudflare 공식 발표
운영체제의 신뢰 저장소를 쓰는 프로그램과 자체 인증서 묶음을 포함한 프로그램은 업데이트 경로가 다를 수 있습니다. 컨테이너 이미지나 장기간 실행 중인 프로세스도 기존 신뢰 정보를 계속 사용할 수 있어요.
이 글의 목차
인증서의 신뢰 사슬에서 중간 인증서가 하는 일
HTTPS 연결에서 클라이언트는 서버가 제시한 인증서를 확인하고 자신이 신뢰하는 인증기관까지 연결되는지 검사합니다. 중간 인증서는 서버 인증서와 신뢰의 기준이 되는 상위 인증서를 이어 주는 역할을 합니다. 해당 중간 인증서의 개인키가 손상되면 공격자가 신뢰할 만한 것처럼 보이는 인증서를 만들 위험이 생겨요. 이는 통신 내용을 암호화하는 계산 방식 자체가 깨졌다는 뜻과는 다릅니다.
따라서 서버 인증서의 유효기간이 남아 있다는 사실만으로 영향을 배제하지 않습니다. 인증서가 어떤 중간 인증서로 이어지는지와 검증 프로그램이 해당 중간 인증서를 어떻게 다루는지를 함께 봐야 합니다. 반대로 같은 인증기관 이름을 보았다는 이유만으로 모든 인증서를 동일하게 판단하지 않습니다. 공식 대상 목록과 실제 신뢰 사슬을 대조하는 과정이 필요합니다.
장치 하나에도 인증서를 검증하는 경로가 여러 개 있습니다
브라우저는 자체 갱신 경로로 위험한 인증서를 빠르게 차단할 수 있지만, 백그라운드 앱은 운영체제나 언어 런타임의 인증서 묶음을 사용할 수 있습니다. 컨테이너에는 이미지에 포함된 오래된 묶음이 남을 수 있어요. 브라우저에서 시험이 통과했다는 결과가 같은 장치의 모든 프로그램을 대신하지 못하는 이유입니다.
외부 API를 호출하는 서비스는 클라이언트로서 상대 서버를 검증합니다. 반대로 클라이언트 인증서를 받는 서비스는 접속자의 신뢰 사슬을 검증합니다. 두 방향의 신뢰 설정을 나누어 찾아야 빠지는 구간을 줄일 수 있습니다. 프록시와 터널이 중간에서 검증한다면 실제로 어느 구성 요소가 인증서 판정을 수행하는지도 확인합니다.
업데이트 완료를 실행 경로에서 확인합니다
예를 들어 컨테이너 서비스가 외부 API를 호출한다면 기반 이미지와 앱의 인증서 의존성을 확인하고, 수정된 이미지로 재배포합니다. 실행 중인 프로세스가 기존 신뢰 정보를 계속 들고 있을 수 있으므로 필요한 재시작이나 재로딩도 확인합니다. 패키지 저장소에 새 버전이 있다는 사실과 운영 프로세스가 그 버전을 쓰는 상태를 구분합니다.
적용 후에는 실제 애플리케이션의 HTTPS 경로로 정상 연결과 인증서 검증을 시험합니다. 실패가 늘면 대상 체인과 신뢰 저장소를 조사하고 인증서 검증을 끄는 우회는 사용하지 않습니다. 외부 API, 내부 프록시, 클라이언트 인증 등 경로별 결과를 기록하면 누가 어떤 검증 경로를 확인했는지 남고 후속 업데이트의 범위도 정하기 쉽습니다.
신뢰 저장소 점검 목록
- 운영체제·브라우저·컨테이너·애플리케이션의 인증서 공급 경로를 찾습니다.
- 업데이트된 기반 이미지로 다시 배포해야 하는 서비스를 구분합니다.
- 업데이트 후 실제 HTTPS 연결과 인증서 검증 결과를 확인합니다.
연결 오류를 없애려고 인증서 검증을 끄지 않습니다. 대상 인증서와 저장소를 확인해 신뢰 구성을 바로잡습니다.
발표문 기준일: 2026-10-20 · 확인일: 2026-10-24
.jpg){kind=link}