2P by neo 2023-11-03 | favorite | 댓글 1개
  • eIDAS 규정의 거의 최종 텍스트가 EU의 주요 기관들에 의해 합의되었으며, 연말까지 승인을 위해 제출될 예정입니다.
  • 새로운 법률 조항은 유럽의 모든 웹 브라우저가 EU 정부가 선택한 인증 기관과 암호화 키를 신뢰하도록 요구합니다.
  • 이 변화는 EU 정부가 EU 전역의 암호화된 웹 트래픽을 가로채어 시민들을 감시하는 능력을 확장합니다.
  • 어떤 EU 회원국이든 웹 브라우저에 암호화 키를 배포할 수 있으며, 브라우저는 이러한 키에 대한 신뢰를 정부의 허가 없이 철회할 수 없습니다.
  • 이를 통해 어떤 EU 회원국이든 발행 회원국과의 거주 또는 연결 여부에 관계없이 모든 EU 시민에 대한 감시와 가로채기를 위한 웹사이트 인증서를 발행할 수 있습니다.
  • 회원국이 인증하고 사용하는 키에 대한 결정에 대한 독립적인 검사나 균형이 없습니다.
  • 이 텍스트는 EU의 IT 표준 기관인 ETSI가 사전 승인한 것을 제외하고는 이러한 EU 키와 인증서에 대한 보안 검사를 브라우저가 적용하는 것을 금지합니다.
  • ETSI는 타협된 암호화 표준을 생산하고 가로채기 기술 개발을 위한 작업 그룹을 운영하는 데 대한 우려스러운 실적을 가지고 있습니다.
  • 300명 이상의 사이버 보안 전문가와 연구자들이 오픈 레터에 서명하여 EU가 이러한 계획을 포기하고 웹을 보호하도록 촉구하였습니다.
  • Linux Foundation, Mullvad, DNS0.EU 및 Mozilla를 포함한 시민사회 단체와 인터넷을 구축하고 보호하는 회사들도 이 편지를 지지하였습니다.
  • 이 텍스트는 11월 8일 브뤼셀에서 열리는 최종 비공개 트라이알로그 회의에서 승인을 받은 후, 발행되어 유럽 의회에서 공식적인 비준을 받기 위해 제출될 예정입니다.
  • 유럽 시민들은 eIDAS 파일을 담당하는 유럽 의회 의원인 Romana JERKOVIĆ에게 글을 써서 그들의 우려를 등록할 수 있습니다.
  • 사이버보안 전문가, 연구자 또는 NGO들은 https://eidas-open-letter.org에서 오픈 레터에 서명할 수 있습니다.
Hacker News 의견
  • EU의 eIDAS 법률에 의해 초래될 수 있는 잠재적 보안 위협에 대한 기사
  • 법률이 감시 목적으로 사용될 수 있는 모든 인증서의 발행을 허용할 수 있다는 우려
  • 일부 의견 제시자들은 모든 EU 법률이 그 공식 언어로 웹사이트에 게시되고 유효해지기 전에 유럽 의회에서 공개적으로 비준되어야 하므로 이 법률이 "비밀 법"이 아니라고 주장
  • 법률이 디지털 행정을 더 쉽게 만들 수 있도록 사적 기관에서 EU 정부로 권력을 이전할 수 있다는 관점
  • 오픈 소스 브라우저에 미치는 영향과 그것을 구현하도록 강제할지, 그리고 정부가 정부 인증서를 제거한 버전을 누가 릴리스하고 있는지 확인하기 위해 코드를 감사할지에 대한 의문
  • 일부 의견 제시자들은 현재 브라우저의 CA 시스템이 본질적으로 결함이 있으며, 그들이 IP 트래픽을 포착하고 악의적인 인증서를 생성할 수 있다면 국가 행위자들이 MITM 공격을 수행할 수 있다고 주장
  • eIDAS에는 신뢰를 강제하려는 시도가 있어, 일부 사람들은 이것이 인터넷의 전체 신뢰 모델을 파괴한다고 믿음
  • 법률은 "웹사이트 인증을 위한 자격 인증서"가 웹 브라우저에 의해 인식되고 사용자 친화적인 방식으로 표시되어야 한다는 요구
  • 인도와 같은 다른 국가들도 그들의 OS와 브라우저가 자체 CA를 가지도록 비슷한 법률을 준비 중
  • 일부 의견 제시자들은 그 CA에 의해 발행된 인증서가 독립적인 인증 투명성(CT) 서비스와 특정 국가 최상위 도메인에 연결되어 있다면 이 법률에 만족