Microsoft 보안 권고 : DigiNotar 루트 인증서 부정 발급 (2011.8.30)

신뢰할 수 있는 루트 인증 기관(Trusted Root Certification Authorities Store) 중 하나인 네덜란드(Dutch) 인증 기관 DigiNotar에서 *.google.com 도메인을 위해 발급된 디지털 인증서가 악의적으로 이용되고 있는 것이 확인되어 마이크로소프트(Microsoft)사에서 긴급 보안 권고를 하였습니다.

 

• Microsoft Security Advisory (2607712) : Fraudulent Digital Certificates Could Allow Spoofing (2011.8.29)

• DigiNotar Root CA 인증서 악용 문제와 Firefox 웹 브라우저 해결 방법 (2011.8.30)

해당 인증서는 2011년 7월 10일에 발급되었으며, 이란(Iran)에서 몇 주 동안 광범위하게 해당 디지털 인증서를 이용하여 지메일(Gmail)을 표적으로 한 MITM(Man-in-the-Middle) 공격을 한 것으로 알려져 있습니다.

일반적으로 알려진 MITM 공격의 경우를 가정한다면 DNS Spoofing을 이용하여 사용자를 속여 허위 지메일(Gmail) 사이트로 접속을 유도하여 구글 계정에 로그인을 할 경우 SSL 통신을 위한 인증서를 발송하면 중간에서 가로채기를 통해 허위 인증서를 사용자에게 전송합니다.

이를 통해 최종적으로 SSL 보안 접속 과정에서 이루어지는 패킷 정보를 공격자가 훔쳐볼 수 있을 것으로 추정됩니다.

 

[영향을 받는 소프트웨어]

1. Windows XP Service Pack 3
2. Windows XP Professional x64 Edition Service Pack 2
3. Windows Server 2003 Service Pack 2
4. Windows Server 2003 x64 Edition Service Pack 2
5. Windows Server 2003 with SP2 for Itanium-based Systems
6. Windows Vista Service Pack 2
7. Windows Vista x64 Edition Service Pack 2
8. Windows Server 2008 for 32-bit Systems Service Pack 2
9. Windows Server 2008 for x64-based Systems Service Pack 2
10. Windows Server 2008 for Itanium-based Systems Service Pack 2
11. Windows 7 for 32-bit Systems, Windows 7 for 32-bit Systems Service Pack 1
12. Windows 7 for x64-based Systems, Windows 7 for x64-based Systems Service Pack 1
13. Windows Server 2008 R2 for x64-based Systems, Windows Server 2008 R2 for x64-based Systems Service Pack 1
14. Windows Server 2008 R2 for Itanium-based Systems, Windows Server 2008 R2 for Itanium-based Systems Service Pack 1

※ 영향을 받지 않는 장치 : Windows Phone 7

 

해당 부정 발급된 디지털 인증서를 공격에 대해서 Windows Vista, Windows 7, Windows Server 2008, Windows Server 2008 R2 운영 체제 하에서의 Internet Explorer 웹 브라우저 사용자의 경우에는 자동으로 DigiNotar 루트 인증서를 제거하였으며, 해당 인증서를 사용하는 인터넷 사이트 접속시 또는 소프트웨어 설치시 인증서 오류를 표시하게 됩니다.

 

 

하지만 Windows XP, Windows Server 2003 운영 체제 환경에서는 해당 문제에 대한 패치를 제공할 예정이므로 차후 업데이트 체크를 통해 보안 패치를 반드시 설치하시기 바랍니다.

그 외에 Firefox 웹 브라우저에서는 차기 업데이트 버전을 통해 패치가 이루어질 예정이며, 구글 크롬(Google Chrome) 웹 브라우저에서는 자동으로 해당 디지털 인증서가 제거되었다고 알려져 있습니다.