DigiNotar, 해커가 531개의 위조 인증서를 발급하도록 방치 — 10주 만에 파산

DigiNotar는 모든 주요 브라우저가 신뢰하는 루트 인증기관 중 하나이자 네덜란드 정부 서비스용 인증서 발급자였다. 2011년 6월 한 침입자가 웹 서버의 패치되지 않은 소프트웨어를 통해 네트워크에 들어와, 인증서 발급을 격리하도록 설계된 분할 시스템 전반을 횡적으로 이동했다. 7월 10일 침입자는 google.com에 대한 위조 인증서를 발급했다. DigiNotar의 정기 감사는 7월 19일 악성 인증서를 발견하고 이를 폐기하고 조사했으며, 그달 말에는 문제가 종결되었다고 믿었다. 그러나 모든 인증서를 찾아낸 것은 아니었다.

8월 27일 이란의 한 Gmail 사용자는 구글 자체 브라우저인 Chrome이 연결을 거부하는 것을 발견했다 — 구글은 실제로 구매한 인증서를 '핀(pin)' 고정해 두었기 때문에 DigiNotar가 발급한 google.com 인증서가 즉시 눈에 띄었다. 구글은 8월 29일 이를 공개하며 이란 사용자들에 대한 중간자 공격을 경고했다. 조사관들은 나중에 aol.com, microsoft.com, cia.gov, mossad.gov.il을 포함한 도메인에 대한 531개의 악성 인증서와, Gmail 비밀번호를 수집할 수 있는 가짜 구글 페이지에 접속한 약 298,000개의 고유 IP 주소 — 그중 95퍼센트가 이란에 있음 — 를 집계했다.

붕괴는 빠르고 완전했다. 브라우저 제조사들은 DigiNotar를 신뢰 저장소에서 제거했고, 9월 14일 네덜란드 규제기관 OPTA는 인증서 발급자로서의 등록을 종료했으며, 9월 20일 Haarlem 지방법원이 DigiNotar를 파산 선고했다 — 첫 악성 인증서가 발급된 지 10주 후, 침해가 공개된 지 3주 후였다. 모회사 Vasco Data Security는 2011년 10-K에서 610만 달러의 중단영업 손실과 520만 달러의 손상차손을 보고했고, 인증서 사업을 영구히 종료했다.

DigiNotar B.V.는 2011년 9월 20일 파산했고, 모회사 Vasco는 610만 달러의 중단영업 손실과 520만 달러의 손상차손을 기록하고 CA 사업에서 철수했다

인터넷에 노출된 웹 서버의 패치되지 않은 소프트웨어가, 그 외에는 강하게 방어된 네트워크에 침입자가 들어오는 진입점을 제공했다.

7월의 내부 감사는 다른 악성 인증서가 존재하지 않음을 입증하지 않은 채 사건이 종결되었다고 선언했다 — 치명적인 google.com 인증서는 사용자의 브라우저가 이를 거부했을 때에야 드러났다.

인증기관의 유일한 자산은 신뢰다. Chrome, Firefox, Microsoft가 그 인증서를 더 이상 인정하지 않게 되자, 보호할 매출이 남아 있지 않았다.

DigiNotar는 공공 안전 사건을 조용히 봉쇄해야 할 사적 IT 문제로 취급했다. CA 침해는 그 인증서가 보증하는 모든 이에게 영향을 미친다.

당신의 제품이 신뢰라면, 어떤 침해든 존재론적이며, 내부 감사 후에 선언하는 '우리가 고쳤다'는 침해가 끝났다는 것과 같지 않다 — 놓친 위조 인증서 하나가 회사를 끝장낼 수 있다.

아무도 체포되거나 기소된 적이 없다. 언론 보도는 증거 없이 이란 국가의 연루 가능성을 추측해 왔다. 네덜란드 정부는 DigiNotar의 운영을 인수하고 Fox-IT의 'Black Tulip' 사후 분석을 의뢰했다. 이 사건은 업계를 구글의 Certificate Transparency, 더 광범위한 인증서 핀 고정, 그리고 더 엄격한 CA 기준 요건 쪽으로 밀어붙였다 — 이러한 변경의 저자들은 DigiNotar를 이름으로 인용한다. 나중에 OneSpan으로 사명을 바꾼 Vasco는 인증서 사업에 다시 진출하지 않았고, FTC의 비공개 조사는 혐의 없이 종결되었다.