마이크로소프트만 신뢰하는 브라질 인증 기관, google.com에 대한 인증서 발급

 (follow.agwa.name)
1P by GN⁺ | ★ favorite | 댓글 1개
  • Andrew Ayeragwa14h
    • 브라질의 인증 기관이 Microsoft에 의해 신뢰받고 있으며, google.com에 대해 아마도 승인되지 않은 인증서를 발급함. 이로 인해 Edge 및 기타 Windows 애플리케이션(Chrome 및 Firefox 제외)에서 Google로의 트래픽을 가로챌 수 있음. Microsoft는 이 인증 기관과 관련된 문제의 역사를 잘 알고 있으며, 2021년에 우려를 전달했으며 2022년 공개 CCADB 토론 중에도 추가 문제가 제기되었음. 이 사건이 변화를 촉발하기를 희망함. Windows 사용자는 더 나은 서비스를 받을 자격이 있음.
  • Andrew Ayeragwa12h
    • 인증 기관의 무능함의 예시로, Google의 자회사 일련 번호가 포함된 인증서 주제가 있다고 해서 Google에 의해 승인된 것은 아님. 인증 기관은 해당 필드에 원하는 내용을 넣을 수 있으며, 이 인증 기관은 인증서에 넣는 내용을 명확히 검증하지 않음.
  • Andrew Ayeragwa10h
    • 기업의 중간자 공격 프록시는 매우 해로움.

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • ICP-Brasil은 10월에 공개용 SSL/TLS 인증서 발급을 공식 중단했음: https://www.gov.br/iti/pt-br/assuntos/noticias/indice-de-not...
    공개 인증서 발급 금지를 우회했을 뿐 아니라 Google의 CAA 규칙도 어겼으니 꽤 심각함. 이 인증 기관은 Microsoft OS에서 영구 차단되길 바람

    • certlm.msc를 확인해 보니 이미 핫픽스가 배포된 듯하고, 신뢰할 수 있는 루트 인증 기관에서 ICP Brasil이 보이지 않음

  • 더 나쁜 건, 버그 리포트에 나온 ICP-Brasil이 디지털 서명 관련 전반을 담당하는 정부 운영 기관이라는 점임
    계약서나 증서에 디지털 서명하고, 세금 신고서에 접근하는 일까지 관여함

    • 웹 브라우저와 달리 디지털 서명 사용 사례는 폐기 확인을 해야 하므로, google.com 인증서를 폐기하면 해결될 것 같음

  • 보기 안 좋은 정도가 큼. Chrome과 Firefox가 이 인증 기관 신뢰를 제거할 줄 알았는데, 이미 신뢰하지 않고 있었음
    다른 대형 플레이어들이 신뢰하지 않는 인증 기관을 Microsoft/Windows가 신뢰하고 있었다는 게 Microsoft에는 더 나쁜 그림으로 보임

    • Microsoft는 보안 평판이 매우 나쁘고, 이런 일을 해왔기 때문에 그런 평판을 얻은 것임
      당분간 나아질 가능성도 낮아 보이고, 방향성은 여전히 아래를 향하고 있음
    • 주요 플레이어 모두에게 신뢰받지 못하는 웹 인증 기관이 무슨 의미가 있는지 모르겠음
    • 미국의 큰 공휴일에 발급된 것도 보기 좋지 않음. 많은 사람이 휴가 중인 시점이었기 때문임
    • 단지 보기 안 좋은 게 아니라, 그냥 나쁜 일임
    • 웃긴 건 이게 이 인증 기관 관련 최신 이슈일 뿐이라는 점임
      예전에는 기본적으로 신뢰되지 않아서 인증서 저장소에 수동으로 추가해야 했는데, 브라질 정부는 공식 웹사이트에서 계속 이 인증 기관을 쓰겠다고 고집했음

  • Microsoft는 인증 기관을 신뢰하는 데 꽤 느슨해 보이고, 포함 결정도 투명하지 않으며, 신뢰 저장소도 상당히 큼
    합리적인 웹사이트라면 브라우저들, 특히 Chrome이 신뢰하는 인증서만 쓸 테니, 이런 여분의 인증 기관이 주는 이점은 낮아 보임
    Windows 사용자는 아니지만 Windows/Edge에서 Chrome 신뢰 저장소를 쓰는 방법이 있는지 궁금함. Microsoft 목록은 신뢰하기 어렵겠음

    • 투명하지 않은 이유는 판매 확대를 기준으로 돌아가기 때문임
    • “Microsoft가 인증 기관을 신뢰하는 데 느슨해 보인다”는 말은 꽤 과감한 표현임. 전형적인 HN식 과장처럼 보임
      MSFT를 옹호하려는 건 아니지만, 정부 대상 OS 판매 경험으로 보면 누구도 Microsoft와 비슷한 수준에 있지 않음. MSFT가 인증 기관 추가를 신중히 검토한다고 보는 편임
      네덜란드 정부 승인 인증 기관이 크게 해킹당한 사건인 DigiNotar를 알고 있는지 궁금함. 그 인증 기관은 루트 인증서가 대부분의 브라우저와 OS 신뢰 저장소에 추가된 뒤 해킹당했고, 널리 신뢰받고 있었음. 그렇다면 MSFT가 DigiNotar 루트 인증 기관을 “느슨하게” 신뢰했다고 할 수 있을까? Mozilla Firefox도 마찬가지로 보기 어렵다고 봄

  • 이런 일을 보면 왜 인증서가 인증서 소유자에게도 서명되지 않는지 궁금함
    지금은 인증 기관이 원하는 공개키와 도메인에 대해 인증서를 발급할 수 있고, 악의적인 신뢰 인증 기관은 모든 트래픽을 가로챌 수 있음
    인증서에 인증 기관 서명뿐 아니라 그 공개키 소유자의 서명도 포함된다면, 인증 기관이 이런 능력을 갖지 못하게 될 것 같은데 무엇을 놓치고 있는 걸까?

    • 그 예시의 모든 인증서에 대한 신뢰 사슬은 악성 루트 인증 기관 인증서를 신뢰하는 데서 성립함
      인증 기관, 또는 현실 세계의 사기로 인증 기관을 속인 공격자가 두 번째 서명에 쓰이는 키 쌍의 “소유자”가 될 수 있음
    • 빠진 건 키 배포와 폐기를 위한 인프라와 절차임
      인증 기관 신뢰 루트에 쓰는 기존 PKI 인프라를 재사용하는 것만으로는 처리되지 않음. 공개키나 인증서를 DANE처럼 DNS로 배포할 수도 있겠지만, 간단한 일은 아니고 생태계 전반의 기존 참여자들이 동의해야 함
      https://en.wikipedia.org/wiki/DNS-based_Authentication_of_Na...
      기존 중앙집중식 PKI 위나 옆에 탈중앙화·자체 관리 신뢰를 추가해 현 상태를 개선하자는 큰 방향은 마음에 듦. 더 체계적으로 회복력 있는 구조로 가는 징검다리가 될 수 있음
    • 인증 기관의 핵심 목적 자체가 공개키 검증임
      인증서 소유자가 이미 인증서에 서명할 검증된 공개키를 갖고 있다면 인증 기관이 필요 없어짐

  • 브라질은 왜 Microsoft에서 자국 인증 기관을 신뢰받게 했는지 궁금함. 예를 들어 카자흐스탄[1]은 그렇지 못했는데 말임

    1. https://en.wikipedia.org/wiki/Kazakhstan_man-in-the-middle_a...
    • 브라질 정부가 Windows 라이선스를 대량 구매하기 때문임

  • 단순한 해결책은 독립 기관들이 인증 기관에 대한 신뢰 주장을 제공하고, 사용자가 여러 기관의 판단을 함께 고려해 신뢰 여부를 결정하게 하는 것임
    공격 경로가 이렇게 명확한데 아직 이런 구조가 없다는 게 놀라움

    • 이건 WebPKI 문제라기보다 클라이언트 소프트웨어 버그에 더 가까움
      어떤 대체 PKI 방식을 만들더라도 Microsoft가 거래를 맺는 문제에서는 자유롭지 않음
    • 페이지를 렌더링할 때 여러 신뢰 저장소를 확인하는 브라우저 플러그인이라면 꽤 간단히 만들 수 있을 듯함. 아마 이미 있을지도 모름
      문제는 키보드와 의자 사이에 있음. 사용자들은 이미 SSL도 이해하기 어려워함. 브라우저들은 EV, DV, OV의 차이가 너무 복잡하다고 보고 숨겨버렸음
      할머니가 은행 사이트를 열었는데 인증서가 Google, Apple, Microsoft에는 신뢰되지만 Mozilla에는 신뢰되지 않아 브라우저 플러그인이 초록빛 노란색 신뢰 표시를 보여준다면 어떻게 받아들일까?
      안타깝게도 신뢰는 이진적임. 할머니는 은행 북마크를 눌렀을 때 은행 웹사이트를 보거나, 무서운 경고를 보게 됨

  • 원문만 봐서는 이 일이 실수였는지 의도적이었는지 잘 모르겠음

    • 인증서가 CT에 등록됐으니, 합리적으로는 실수였다고 보는 게 맞을 듯함
      들킬 게 보장되어 있었고, 상당한 비용을 들여 마련했을 기능 자체를 위협할 논란을 만들 게 뻔했기 때문임
    • 인증 기관이 어떻게 google.com 인증서를 실수로 발급할 수 있는지 모르겠음
      악의적이지 않은 시나리오가 있긴 한가?
    • 부주의했다는 게 답임
    • 그게 중요한가?

  • 추측이지만 정부와 대기업 사이의 의도적 공모나 강압처럼 들림
    예를 들면 브라질 정부가 자국에서 사업할 권리를 대가로 Microsoft에 Windows 기기에서 중간자 공격 접근을 허용하라고 요구하는 식임

    • 그럴 가능성은 매우 낮아 보임
      정부는 보통 나쁜 계획을 은밀하게 진행함. 이런 일은 들키지 않고 넘어가기 너무 어려워서 실현 가능한 방식이 아님. 지금 이 글을 HN에서 읽고 있다는 사실이 바로 그 사례임

  • 국가 또는 국가 관련 인증 기관 목록을 가진 사람이 있으면 좋겠음. 전부 버리고 싶음

    • 작년에 부분 목록을 만들었음 [1]
      어떤 인증 기관이 정부 운영 또는 정부 통제를 받는지 판단하기는 어려움. 이름만으로는 항상 분명하지 않고, 민간 기업이 정부 지시에 따라 운영될 수도 있으며, 법적으로 인증 기관이 정부 요청을 따라야 할 수도 있음
      여기에 있는 것들은 모두 인증 기관을 운영하는 정부·군 조직임이 매우 분명한 곳들이었고, 이번에 언급된 브라질 인증 기관은 목록의 두 번째임
      [1] https://alexsci.com/blog/ca-trust/#government-control-of-cas
답변달기