eMudhra, 글로벌 SSL/TLS 사업에서 철수 — 사고 5일 만에, '매출의 1%'

10월 20일에 다룬 eMudhra 중간 CA 키 사고의 결말입니다. 벵갈루루에서 10월 22일 발표됐습니다.

결정

이사회가 글로벌 SSL/TLS 인증서 사업에서 자발적으로 철수하기로 했습니다. 그 외 신뢰 서비스는 계속합니다. 철수 완료 시점은 "고객 전환이 완료될 때까지"로만 적혀 있습니다.

회사가 든 사유

보도자료의 표현을 그대로 옮기면:

• "increasing data sovereignty & compliance requirements" — 규제 준수 비용 증가
• 사업의 복잡성과 비용 증가
• 대형 기업들이 SSL/TLS를 무료로 발급하면서 사업성과 투자수익률 감소
• 사고에 대한 SNS 확산으로 "scrutiny that is out of proportion"

그리고 글로벌 SSL/TLS는 **전체 매출의 약 1%**라고 했습니다. 사고 자체는 "발견 후 14시간 내 영향 CA를 폐기했다"고만 언급합니다.

외부 보도는 이를 "보안 결함이 불신을 촉발해 철수"로 정리했고, 회장 V. Srinivasan은 사업적 이유도 함께 들었습니다. 1%짜리 사업이 회사 전체의 신뢰를 흔드는 걸 보고 접었다는 쪽이 사실에 가까워 보입니다.

기존 고객

• G1 RSA 루트는 전환 완료까지 서비스 유지
• 영향 고객에게 연락해 파트너를 통해 무상 교체
• **폐기·인증서 상태 확인(OCSP/CRL)**은 발급된 모든 인증서가 만료되거나 교체될 때까지 운영
• 브라우저 루트 프로그램에 대한 남은 의무 이행, 근본 원인 보고서 제공 예정

계속하는 사업

인도의 디지털 서명 인증서(DSC), eSign, 엔터프라이즈 PKI(emCA, CertiNext), emSigner, SecurePass·emAS 인증 솔루션. 인도 내 서명 서비스는 영향이 없다고 합니다. 인도 내 SSL/TLS가 철수에 포함되는지는 명시되지 않았습니다.

글에 없는 것

철수 완료 예정일, 영향 고객 수와 교체 대상 인증서 규모, 파트너 교체 비용의 부담 구조, 근본 원인 보고서 공개 시점. 그리고 Chrome이 남은 eMudhra 루트를 어떻게 처리할지 — 외부 보도에 따르면 루트 하나의 불신이 10월 27일 발효됩니다.

실무에서 할 일

eMudhra 인증서를 쓰고 있다면 회사 연락을 기다리지 말고 지금 교체하세요. 루트 불신이 진행 중이라 교체 전까지 브라우저에서 경고가 날 수 있습니다.

모두에게: 이 사례가 묻는 건 "우리 인증서의 CA가 내일 사라지면 며칠 안에 바꿀 수 있는가"입니다. ACME로 자동 발급하고 있다면 CA 엔드포인트 하나 바꾸는 일입니다. 수동으로 발급받아 수동으로 설치하고 있다면 — 그 목록이 어디 있는지부터 찾아야 합니다. 그 목록이 없는 곳이 많습니다.