인도발 브라우저 보안사건 자세한 설명

google.com같은 유명사이트 주소를 가장한 goggle.com 등을 이용해

사용자들을 낚고 개인정보를 빼내는 피싱사이트는 많이들 들어 봤을거임

암튼 이런 사기를 방지하기 위한 방법으로 CA 인증이라는 게 있는데

대충 인증서를 발급하는 기관이 진짜 그 주소의 주인인지 확인하고

이 사이트는 안전해요~라고 인증서에 도장 찍어주고 브라우저에게 알려주는 구조임

당연히 피싱사이트에겐 이런 키를 나눠주지 않을 것이고

만일 비밀번호가 없는 사이트를 연다면 브라우저가 알아서 차단해줌

이런 인증서 발급 기관은 한 곳이 아닌 각국에 여러군데가 있고

이번에 인도의 eMudhra라는 곳에서 도장(비밀번호키)이 털리는 사건이 발생함

근데 이 기관의 비밀키가 털린 방식이 얼탱이가 없음

바로 기관이 발급했던 개인키가 '4'였던 거였음

4자리 숫자 이런게 아니라 그냥 비밀번호가 4임

(보통 이런 개인키는 100자리 이상의 복잡한 숫자를 사용함)

쉽게 말해 비밀번호 4를 입력해서 eMudhra가 발급한 인증서에다가 스스로 도장을 찍으면

피싱사이트도 그냥 아무런 문제없는 정상사이트로 인식된다는 거임

인증 자체가 무의미해지니 인터넷이 난리가 날 수밖에 없음

지금은 다행히 주요 브라우저(크롬, 파폭)가 eMudhra를 그냥 퇴출시키면서 일단락됨