eMudhra, 글로벌 SSL/TLS 인증서 사업에서 철수 발표
- eMudhra가 이사회 결정으로 글로벌 SSL/TLS 인증서 사업에서 자진 철수함
- SSL/TLS 사업은 전체 매출의 약 1%에 불과하며, 데이터 주권 규제 강화와 무료 인증서 확산으로 수익성이 크게 줄었다고 밝힘
- 회사는 최근 사고에서 발견 후 14시간 만에 영향받은 CA를 폐기했고, 발급된 최종 인증서는 없으며 인프라 침해와 데이터 유출도 없었다고 주장함
- G1 RSA 루트는 전환이 끝날 때까지 계속 서비스되고, 기존 인증서는 만료되거나 교체될 때까지 폐기 및 상태 확인 서비스가 유지됨
Hacker News 의견들
인증서 사업 접는다고 평판이 회복되는 건 아니지. 브라우저랑 OS가 이 회사 인증서를 앞으로 다시 믿어줄 리가 없음.
이름 바꾸고 다시 들어오는 시나리오는 충분히 가능함. 같은 사람이랑 사무실 그대로 두고 자회사 세운 다음 기존 고객 갱신을 넘기는 식으로 가면 됨.
Chrome 팀이 eMudhra한테 던진 질문 목록 보면 감정 섞인 게 아니라 회사 의무를 묻는 거라 합리적임.
진짜 문제는 CA 승인 과정이랑 감시 체계임. 감사 보고서만 보고 실제 운영은 안 들여다보는 구조라서 인도 회사라서 생긴 일이 아니고 어디서든 터질 수 있음.
인도가 외국 회사 들어오기 빡세서 현지 CA 수요는 실제로 있음. 렛츠인크립트 못 쓰는 곳도 많더라.
인도 전자정보기술부(MeitY)가 조사팀 꾸렸다고 하더라. 규제 쪽은 이미 움직이는 중임.
6000만 장 발급했다는 건 확인 안 된 얘기임. 발급 개수로 영향을 재기는 어렵고, 루트나 중간 인증서는 거의 없는 곳이라 철수 영향은 크지 않을 듯.
발급된 최종 인증서가 없었다는 말이 무슨 뜻인지 모르겠음. 중간 인증서만 발급한 건지 궁금함. 큰 루트 밑에 달린 중간 인증서들도 다시 증명받아야 할 수도 있다고 봄.
소셜미디어 때문에 과하게 주목받았다는 말은 뻔뻔함. 그냥 잘못했다고 인정하면 될 걸.