디지노타(DigiNotar) 해킹, 가짜 구글 인증서 발급과 인증기관 파산

디지노타는 1998년 네덜란드의 공증인 딕 바텐뷔르흐와 네덜란드 공증인 협회(KNB)가 전자서명과 웹 보안용 인증서를 발급하는 인증기관으로 세웠다. 네덜란드 정부의 전자정부 서비스에 쓰이는 PKIoverheid 체계의 인증서도 발급해 공공 분야에서 영향력이 컸다. 인증기관은 브라우저가 기본으로 신뢰하는 루트 목록에 포함되기 때문에 침해되면 전 세계 웹 이용자의 보안이 흔들릴 수 있다. 이런 구조적 중요성 때문에 이후 해킹의 파장도 커졌다.

2011년 1월 10일 벨기에·미국에 기반을 둔 바스코 데이터 시큐리티 인터내셔널이 디지노타를 인수했다. 인수는 해킹이 시작되기 몇 달 전에 이뤄졌으며, 이후 인수 모회사도 사고의 여파로 큰 타격을 입었다. 수사 결과 디지노타의 보안 관리는 오래된 소프트웨어와 허술한 네트워크 분리 등으로 부족했던 것으로 드러난다. 인수 직후 불과 반년이 안 되어 터진 사고는 업계에 인증기관 관리의 취약성을 환기시켰다.

Fox-IT의 조사 보고서에 따르면 공격자는 이르면 6월 6일부터 탐색을 시작했고 6월 17일에는 DMZ 서버를 장악했다. 디지노타는 6월 19일 시스템 침입을 탐지했지만 이 사실을 외부에 알리지 않았다. 이후 공격자는 7월 2일 처음 위조 인증서 발급을 시도했다. 회사가 침입을 알고도 대외 공개를 미룬 점은 이후 신뢰 상실의 핵심 원인으로 지적되었다.

Fox-IT에 따르면 공격자는 2011년 7월 10일 구글 도메인 전체에 쓸 수 있는 와일드카드 인증서를 처음으로 발급받는 데 성공했다. 이 인증서가 있으면 이용자가 진짜 구글 사이트로 접속했다고 믿으면서도 중간에서 통신을 가로채는 중간자 공격이 가능해진다. 마지막 위조 인증서 발급은 7월 20일에 이뤄졌고, 위조 인증서는 최종적으로 531장 이상이 확인되었다. 발급 대상에는 구글 외에도 여러 유명 도메인이 포함되어 있었다.

2011년 8월 28일 이란의 인터넷 서비스 제공업체 네트워크에서 구글 서비스 접속 시 인증서 오류가 나타난다는 보고가 나왔다. 이는 위조된 구글 인증서가 실제 이용자 통신을 가로채는 데 쓰이고 있다는 첫 징후였다. 이후 Fox-IT 조사는 약 30만 명의 이란 지메일 이용자가 이 중간자 공격의 주요 표적이었다고 밝혔다. 정치적 감시 목적의 공격이었을 가능성이 거론되면서 사건은 단순한 해킹이 아닌 인권 문제로도 번졌다.

8월 29일부터 30일 사이 위조 인증서 문제가 공개되자 구글과 모질라가 즉각 대응에 나섰다. 이어 9월 9일까지 모질라, 마이크로소프트, 애플, 구글 크롬, 오페라가 차례로 자사 신뢰 저장소에서 디지노타 루트 인증서를 제거하거나 차단했다. 9월 2일에는 모질라가 네덜란드 정부용 PKIoverheid 인증서를 일시적으로 예외로 두는 조치를 취하기도 했다. 브라우저 업체들의 일치된 조치는 인증기관이 신뢰를 잃으면 사실상 시장에서 퇴출될 수 있음을 보여 주었다.

디지노타 인증서는 네덜란드 정부 웹사이트와 전자 서비스에도 쓰이고 있어 침해 소식은 국가 차원의 위기가 되었다. 네덜란드 정부는 2011년 9월 3일 디지노타의 운영 통제권을 넘겨받고 정부 인증서를 다른 인증기관으로 옮기는 전환 계획을 발표했다. 정부 보안 조사에 따라 PKIoverheid 시스템도 침해된 사실이 확인되었다. 이로 인해 전자정부 서비스 일부가 한동안 불안정해지는 혼란이 이어졌다.

2011년 9월 5일 디지노타는 보안업체 Fox-IT가 수행한 '블랙 튤립 작전' 조사의 중간 보고서를 공개했다. 보고서는 약 30만 명의 이란 지메일 이용자가 중간자 공격의 주된 표적이었다고 밝혔다. 또한 디지노타가 낡은 소프트웨어를 쓰고 충분한 보안 대책을 갖추지 못했다는 점도 드러났다. 이 보고서는 인증기관 감독 체계 전반을 다시 점검해야 한다는 목소리를 키웠다.

디지노타는 9월 19일 자발적 파산을 신청했고 하를럼 법원은 9월 20일 파산을 선고했다. 모회사 바스코는 자회사인 인증기관의 파산을 공식 인정했다. 브라우저에서 루트 인증서가 제거되면서 사업의 핵심 자산인 신뢰가 사라졌기 때문에 사실상 회복이 불가능했다. 해킹 한 번으로 인증기관이 파산에 이른 이례적인 사례로 기록된다.

2012년 10월 정보공개 절차를 거쳐 ITSec의 보안 감사 보고서가 공개되었다. 이 보고서는 사고 이전 디지노타의 보안 상태를 평가한 문서로 알려져, 회사가 알려진 취약점을 얼마나 방치했는지를 확인하는 자료가 되었다. 한편 '코모도해커'를 자처한 인물이 자신의 소행이라고 주장했으며, 일부 보안 전문가는 국가 차원의 개입 가능성을 거론하기도 했다. 다만 배후는 확정되지 않았고 주장 단계의 사안으로 남아 있다.