안녕하세요,그로메트릭 입니다. 🐸 2026년 10월 17일, 한 연구자가 eMudhra 중간 인증기관(CA) 8곳의 개인키가 불충분한 무작위성으로 생성되어 복구될 수 있다고 보고했습니다. 여기에는 TLS 인증서용 6개와 코드 서명용 2개가 포함됩니다. 영향받는 TLS 키를 가진 사람은 웹사이트나 서비스용 인증서를 만들 수 있고, 해당 체인을 여전히 신뢰하는 클라이언트는 이를 받아들일 수 있다는 점이 핵심 리스크입니다. 브라우저와 운영체제 벤더는 영향받는 인증서를 차단했지만, 다른 소프트웨어는 별도로 존재하거나 번들된 인증서 신뢰 저장소(trust store)에 의존할 수 있어 브라우저 보호만으로는 조직 전체의 조치가 끝났다고 말할 수 없습니다.이번 글은 소나타입이 10월 21~23일에 공개한 eMudh..

안녕하세요,그로메트릭 입니다. 🐸 Maven Central에서 Java 의존성을 가져오는 개발팀이라면, 빌드가 성공하는 이면의 구조를 한 번쯤 짚어볼 필요가 있습니다. 개발팀이 의존성을 추가할 때 신뢰하는 대상은 파일 하나가 아닙니다.좌표와 일치하는 컴포넌트, 올바른 버전 해석을 돕는 메타데이터, 빌드 시점에 항상 가능한 다운로드까지 함께 신뢰하게 됩니다.이 과정은 대부분 자동으로 수행되기 때문에, 신뢰가 전제되어 있다는 사실은 평소에 잘 드러나지 않습니다. 소나타입의 OSPO Global Director인 Paul Horton은 퍼블리싱, 메타데이터, 가용성, 문제 대응, 장기 보존이라는 운영 요소가 이 신뢰를 만든다고 설명합니다. 의존성의 출처와 위험을 설명해야 하는 조직에게는 공급망 보안 관점에서..