‘부정 발급’ 등 자극적인 단어로 전파되고 있으나 과장된 것
시만텍, 모든 RA 프로그램 폐지... 달라진 파트너 관계 이어갈 듯

[보안뉴스 문가용 기자] 얼마 전 구글이 ‘시만텍 못 믿겠다’며 시만텍 인증서들에 대해 조치를 취하겠다는 취지의 글을 블로그를 통해 발표했다. 127개의 시만텍 인증서가 잘못 발급되었으며, 구글의 주장에 따르면 이는 약 3만 여개의 인증서로까지 확대되었다고 한다. 이에 시만텍은 127개의 인증서는 잘못 발급되었다는 걸 인정하며 수사를 진행시키고 등록기관(Registration Authority, RA) 프로그램을 폐지하겠다고 발표했다. 

등록기관이란 인증기관(Certification Authority, CA)과 인증서를 발급받을 자 사이에 다리를 놔주는 역할을 하는 곳으로, 사용자가 인증서를 발급받아도 될 만한 사람인지 신분을 확인한다. 시만텍이 RA 프로그램을 폐지시키겠다는 건, 사용자 확인을 직접 하겠다는 뜻이며, 또한 이번 사건에 시만텍의 위임을 받은 대행 기관 및 파트너사가 개입되어 있다는 것을 암시하기도 한다. 

시만텍은 이 127개의 잘못된 인증서에 대한 보고서를 1월 26일부터 계속해서 자사 홈페이지에 업데이트 해왔고, 최종 업데이트 일자는 3월 6일이다. 여기에 시만텍의 유일한 한국 인증서 파트너사인 한국전자인증의 영어 이름 CrossCert를 검색해보면 92번 나온다. 

먼저 문제의 127개 인증서를 시만텍은 총 여섯 가지로 분류하고 있다. 
1) 2016년 7월 14일에 발행된 인증서로 example.com이라는 도메인 이름과 test1.com/testexample.com이 포함된 SAN(하나로 여러 도메인 인증을 할 수 있는 인증서)이 발견되었다. 총 4장.
2) 2016년 10월 21일, 11월 15일, 12월 15일에 발행된 인증서로 test라는 단어가 포함된 도메인 이름과 SAN 도메인 이름이 발견되었다. 총 6장.
3) 2010년 1월 22일부터 2012년 5월 23일 사이에 발행된 인증서로 O=test가 포함되어 있다. 총 21장.
4) 2016년 10월 21일부터 2017년 1월 18일 사이에 발행된 인증서로 O=test가 포함되어 있다. 총 93장. 시만텍은 이 인증서의 오류를 파악하고 24시간 내에 모두 취소시켰다.
5) 2016년 10월 24일에 발행된 인증서로 O=test가 포함되어 있으며, 도메인 이름에 crosscert가 있다. 총 2장.
6) 2016년 10월 28일에 발행된 인증서로 dev119money.com 도메인 이름이 포함돼 있다. 총 1장. 

이 인증서 모두 한국전자인증이 발행했으며, 시만텍은 “한국전자인증이 웹트러스트 감사를 받은 등록기관이기 때문에 시만텍 임직원은 해당 인증서의 비준 과정에 참여하지 않았다”고 밝히고 있다. 그래서 시만텍은 2017년 1월 19일, “한국전자인증 전 담당자의 인증 권한을 취소시켰으며, 127개의 인증서 중 해당 시점에 유효했던 인증서들을 전부 폐지시켰다”고 밝혔다. 또한, 한국전자인증이 진행하고 있었던 건들을 시만텍이 전부 이행하기 시작했다. 

시만텍은 이 문제에 대한 수사를 시작했으며, 이에 대해 다음과 같은 결과를 발표했다.
- 2016년 7월과 2017년 1월 사이에 발급된 인증서의 경우, 인증서 내용 중에 test라는 단어가 있었기 때문에 시만텍은 한국전자인증에 발급 금지 명령을 내렸다. 하지만 한국전자인증의 관리체제에 대한 권한을 가지고 있지는 못한 상태였다. 

- 감사 로그를 확인한 결과 한국전자인증 임원들은 컴플라이언스 오류에 대한 경고를 무시했다(overrode). 한국전자인증은 시만텍에 연락을 취하거나 의견을 구하지도 않았고 인증서는 그대로 발급됐다.

- 위 분류에서 4~6번에 해당하는 인증서들은 한국전자인증이 새롭게 제공한 서비스와 관련이 있는 것으로 보인다. 한국전자인증은 고객들이 추가로 인증서를 구매하기 전에 충분한 실험을 해볼 수 있도록 시험용 인증서를 발급해주기 시작했던 것이다. 한국전자인증은 시만텍에 “O 필드값에 test를 적어 넣은 건 고객들이 시험용 인증서를 쉽게 구분할 수 있도록 하기 위해서”라고 설명했다. 3번 분류에 해당하는 인증서 역시 비슷한 목적으로 발급된 것들이라고 한국전자인증 측은 주장하고 있다. 이 사업은 시만텍과 협의 없이 단독으로 진행한 것이다.

- 1, 2, 5번에 해당하는 인증서들의 경우, 한국전자인증이 내부 실험을 위해 발급한 것이라고 한국전자인증 측은 설명한다. 시만텍에도 이러한 내부 실험을 위한 소프트웨어가 있으나, 이는 파트너사들에게 공유되지 않는 것이며, 한국전자인증의 내부 실험에도 관여되지 않았다.

1월 26일 최초 보고에 따르면 시만텍은 위 127개 인증서들 중 1, 2, 5번에 해당하는 인증서 관련 세부 문서를 한국전자인증에 요구한 상태이며, 다른 나라의 RA 파트너사들도 같이 점검에 들어갔다. 무엇보다 이 같은 행위들이 왜 시만텍 본사로 진작에 보고되지 않았는지에 대한 내부 조사도 진행하고 있는 것으로 나타났다.

하지만 “내부 테스트용”이라든지 “고객 편의 제공”과 같은 한국전자인증에 대한 설명은 부족했던 것으로 보인다. 실제 시만텍은 “한국전자인증은 평가를 수행하는 데에 있어 문서와 감사 추적에 결함이 있는 것을 확인했다(We have confirmed that there are deficiencies in the documentation and audit trails for validation performed by CrossCert)”고 진단했다. 

또한, 1월 30일 새로 업데이트된 보고서를 통해 시만텍은 정확히 “한국전자인증의 발급 권한을 금지(disable)시켰다”고 밝히고 있다. 게다가 이렇게 권한을 취소시킨 것이 한국전자인증이 유일하다(“Only CrossCert”)라고 밝히기도 했다. 3월 6일자까지 업데이트된 내용 중 이 같은 금지 조치를 추가로 받은 RA 파트너사는 없다. 다만 모든 RA 프로그램이 사라졌다. 

당연히 ‘한국전자인증이 인증서를 발급할 기관에 대한 평가는 제대로 했나?’라는 의문이 떠오른다. 실제 한국전자인증은 시만텍에 “조사 과정 자체는 올바로 실행되었다”고 주장한 것으로 보인다. 시만텍은 “이 주장에 대해 평가 중이며, 증명할 수 있는 모든 서류를 제출해달라고 요구했다”고 1월 30일자로 밝히고 있다. 이 문제는 아직 조사 중인 것으로 보인다.

한편, 다른 RA 파트너들도 전부 조사했던 시만텍은 결국 모든 RA 파트너 프로그램을 없앤다는 결정을 내렸다. 그 이유에 대해 시만텍은 가장 최근 버전인 3월 6일자 보고서를 통해 “RA 파트너들이 연간 CPS 최신화 의무를 이행하지 않았기 때문”이라고 밝히고 있다. 그러면서 “이는 여러 가지 이유 중 하나”라고 덧붙였다. 하지만 보다 정확한 이유는 이미 2월 12일자 보고서에 나온다. “한국전자인증에 대한 조사를 진행하다 보니 세 가지 우려 사항이 내부적으로 제기되었습니다. 하나는 인증 발급 절차나 통제권에 대한 의무 불이행이며, 감사자들이 요구하는 사후 관리 범위가 예상했던 것보다 훨씬 넓고, 이미 잘못 발급된 인증서가 다수 나왔다는 겁니다. 이에 모든 RA 프로그램을 종료하기로 결정했습니다.” 

그렇다고 앞으로 모든 인증서를 시만텍이 직접 발행하겠다는 건 아니다. 좀 더 엄격한 선별 과정을 통해 파트너사를 모집해 계속해서 인증서 발급 대행 서비스를 실시할 계획이다. 다만 파트너사에 대한 관리와 인증서 발급 과정에 보다 엄격하게 개입하겠다는 입장이다. 또한 한국전자인증 고객들의 인증서 역시 시만텍의 인증팀(Authentication Team)이 1월 19일부터 관리해오고 있다고 한다. 

이 사건이 일부 커뮤니티와 SNS에 퍼지기 시작하면서 ‘부정 발급’이 거론되고 있는데, 이는 사실과 무관해 보인다. 한국전자인증의 안군식 이사는 “RA 프로그램이 전부 없어졌지만 여전히 시만텍 인증서의 발급 대행과 판매, 기술지원 서비스는 계속 한국전자인증에서 진행할 예정”이라며 “다만 발급 심사만 시만텍이 직접 진행해 이전보다 시간이 지연될 수는 있다”고 설명한다. 그나마도 24시간 이내로 맞추기 위해 시만텍과 협의 중에 있다고 한다. “정말 부정행위를 저질렀다면 시만텍이 계속해서 연을 이어가지는 않았겠죠.”

안군식 이사는 “테스트용 인증서를 철저히 관리하지 않아 잘못된 인증서가 유출된 것에 대한 과실”을 인정하며 “이 사건으로, 또 앞으로도 인증서와 관련하여 고객들에게 전혀 피해가 가지 않도록 관리하겠다”고 약속했다. 시만텍 역시 보고서를 통해 “RA 파트너사들 모두 결국에는 시만텍이 직접 인증한 곳들”이라며 관리 책임을 인정하고 있다.

출처:http://www.boannews.com/media/view.asp?idx=54049&skind=O