중요 업데이트: 2026년 7월 1일부터 Zebra는 보안을 강화하기 위해 필수 다단계 인증(MFA)을 구현하고 있습니다. 자세한 내용은 .

eMudhra 중간 인증 기관의 손상

전체 내용 요약

Zebra Technologies는 상업용 인증 기관(CA)인 eMudhra Technologies Ltd.와 관련된 업계 전반의 암호화 취약점을 적극적으로 모니터링하고 해결하고 있습니다.

2026년 10월 17일, 보안 연구원은 eMudhra가 운영하는 8개의 중간 CA 인증서와 연결된 개인 키가 심각한 암호화 결함(3~8비트에 불과한 매우 낮은 엔트로피)과 함께 생성되어 제3자가 개인 서명 키를 즉시 추론할 수 있도록 했다고 공개했습니다. 잠재적인 영향은 Zebra의 엔터프라이즈 안드로이드 및 윈도 제품 라인에 엄중히 격리되어 있으며, 둘 다 구글과 마이크로소프트의 자동 백그라운드 업데이트를 통해 이미 보호된 바 있습니다. 다른 Zebra 제품은 영향을 받지 않으며, 인터넷 연결 표준 배포에는 수동 업데이트 적용이 필요하지 않습니다.

  • 문제 : 8개의 eMudhra 중간 인증 기관과 관련된 중요한 암호화 결함이 공개되어 잠재적으로 공격자가 보안 웹 사이트를 스푸핑하거나 신뢰할 수 있는 서명을 위조할 수 있습니다.
  • 영향 : 영향은 Zebra 엔터프라이즈 안드로이드 및 Windows 장치로 제한됩니다. 다른 모든 Zebra 제품 및 솔루션은 영향을 받지 않습니다. 이 취약점은 eMudhra의 외부 키 생성 프로세스 내에서 엄격하게 시작되었습니다. Zebra 인프라, 클라우드 플랫폼, 내부 시스템은 완벽하게 안전하며 성능이 저하되지 않습니다.
  • 안드로이드에 대한 해상도 : 표준 장치에 대해 고객 조치가 필요하지 않습니다. 영향을 받는 Android 장치는 2026년 10월 19일에 배포된 브라우저 수준 해지 업데이트 및 비상 Google Play 서비스 시스템 패치를 통해 이미 자동으로 보호됩니다. Zebra 엔터프라이즈 Android 모바일 컴퓨터의 대다수의 경우 보호가 이미 백그라운드 구성 요소를 통해 자동으로 자동으로 제공되었습니다. 구글 플레이 서비스 및 최신 웹 브라우저에서 제공하는 업데이트. 펌웨어 플래싱 또는 운영 체제 업데이트가 필요하지 않습니다.
  • Windows용 해결 방법 : 고객 조치가 필요하지 않습니다. 2026년 10월 20일, Microsoft는 영향을 받는 중간 인증 기관을 차단하기 위해 Windows 허용되지 않는 인증서 신뢰 목록에 대한 업데이트를 게시했습니다. 또한 마이크로소프트는 영향을 받는 TLS 인증서를 차단하기 위해 마이크로소프트 에지 및 웹뷰2에 대한 별도의 CRLSet 업데이트를 배포했습니다. 에지 및 웹뷰2 업데이트는 구성 요소 업데이트 메커니즘을 통해 자동으로 제공되며 고객이 새 브라우저 버전을 설치할 필요가 없습니다.
  • Windows 제품에 대한 자세한 내용은 손상된 eMudhra 인증 기관 키에 대한 Microsoft 대응 블로그 를 참조하십시오.

추가 세부정보: 안드로이드 수정

Zebra 엔터프라이즈 안드로이드 장치의 경우, 적용은 사용 중인 소프트웨어 애플리케이션 스택에 따라 달라집니다.

  • 브라우저(구글 크롬 및 모질라 파이어폭스) : 백그라운드 브라우저 해지 목록 업데이트(CRLSet/OneCRL) 및 엄격한 인증서 투명성(CT) 적용을 통해 자동으로 보호됩니다. 구글 크롬과 모질라 파이어 폭스는 대역 외 업데이트를 통해 영향을받는 공개 키 해시에 대한 신뢰를 취소했습니다.
  • 네이티브 앱 및 WebView(엔터프라이즈 브라우저 포함) : 2026년 10월 19일 구글 플레이 서비스에 의해 푸시된 비상 구성 요소 업데이트를 통해 자동으로 보호되며, 이로 인해 eMudhra 인증서가 안드로이드 시스템 신뢰 저장소의 해지 목록(차단 목록)에 추가되었습니다.

자세한 기술적 배경은 Google 보안 블로그: 손상된 eMudhra Intermediate CA 인증서로부터 Chrome 및 Android 사용자 보호를 참조하세요.

Android에서 아키텍처별 자세한 영향 분석

1. 안드로이드 웹 브라우저(구글 크롬 및 모질라 파이어폭스)

크롬과 파이어폭스는 자체적으로 독립적인 루트 저장소를 관리하며 기본 안드로이드 OS 신뢰 저장소에 의존하지 않습니다. 브라우저 기반 응용 프로그램의 경우 보호는 브라우저 응용 프로그램 자체 내에서 직접 적용됩니다.

Chrome은 자체 독립적인 신뢰 저장소를 관리하므로 Android OS 신뢰 저장소에서 인증서를 수동으로 제거하거나 사용 중지해도 Chrome의 동작에는 영향이 없습니다. Chrome은 손상된 eMudhra 인증서를 인터넷 연결 시 즉시 자동으로 적용되는 내부 해지 목록(CRLSet)에 추가하여 이를 차단하는 업데이트를 푸시했습니다.

또한 Chrome은 기본적으로 인증서 투명성(CT)을 적용합니다. 해지 전에 이러한 손상된 키에 대해 로깅된 합법적인 인증서가 없었으므로 공격자가 위조된 인증서를 제시하려고 하면 유효한 서명된 인증서 타임스탬프(SCT)가 없기 때문에 Chrome에서 즉시 거부됩니다.

2. WebView를 사용하는 안드로이드 네이티브 애플리케이션

독립 실행형 브라우저가 아닌 웹 엔드포인트에 직접 액세스하는 애플리케이션의 경우 안드로이드 시스템 수준 업데이트가 필요합니다. 가장 일반적인 구현은 Zebra Enterprise Browser에서 활용되는 WebView 제어 API를 통하는 것입니다.

이러한 네이티브 애플리케이션의 경우, 구글은 구글 플레이 서비스를 통해 8개의 손상된 eMudhra 중간 공개 키 해시를 안드로이드의 보안 차단 목록에 추가하는 자동 업데이트를 제공했습니다.

구글 모바일 서비스(GMS) 지원 기기에서 이 업데이트는 관리적 개입이나 OS 수준의 펌웨어 업데이트가 필요하지 않습니다. Zebra Android 장치에 대한 기술 검증 중에 공장 초기화 장치가 인터넷에 연결된 후 1초도 채 되지 않아 보안 차단 목록 항목이 도착했습니다. 이 백그라운드 전송을 수행하려면 기기에서 Google Play 서비스를 사용하도록 설정해야 합니다.

Active Play 서비스가 없는 장치에 대한 수동 완화

구글 모바일 서비스(비GMS) 없이 작동하거나 제한된 네트워크에서 작동하는 장치는 자동 구글 업데이트를 받을 수 없습니다. 이러한 장치에서 WebView 기반 엔터프라이즈 응용 프로그램을 실행하는 경우 관리자는 수동 완화 단계를 적용해야 합니다. Zebra는 현재 비GMS 플랫폼에 대한 기술적 수정 경로와 장기 제공 옵션을 평가하고 있습니다. 그 동안 관리자는 네트워크 및 응용 프로그램 수준 제어에 집중해야 합니다.

네트워크 수준의 보정 제어: 수동 구성이 즉시 현실적이지 않은 대규모 차량을 관리하는 기업의 경우 로컬 회사 방화벽 또는 보안 웹 게이트웨이(예: Z스케일러, 팔로 알토 네트웍스, 포티넷 등)에 검사 규칙을 구현하는 것이 좋습니다. . 이 규칙은 손상된 eMudhra 중간 키로 서명한 인증서를 제시하는 모든 인바운드 또는 아웃바운드 연결을 차단해야 하며, 이는 로컬 장치 구성이 업데이트되는 동안 즉각적인 네트워크 장벽 역할을 합니다.

수동 인증서 비활성화 절차

  1. 설정 > 보안 (또는 보안 개인 정보 > 추가 보안 설정)으로 이동합니다.
  2. 암호화 자격 증명 > 신뢰할 수 있는 자격 증명 을 선택합니다.
  3. 시스템 탭에서 다음 두 개의 루트 인증서를 찾아 사용 안 함을 토글합니다(이를 사용하지 않도록 설정하면 직접 체인과 Sectigo 교차 서명 변형 모두에 적용됨).
    • emSign ECC 루트 CA - G3 ( eMudhra 기술 제한 아래에 나열)
    • AAA 인증서 서비스 ( 코모도 CA 유한회사 에 등록)

참고: 이러한 루트를 사용하지 않도록 설정하면 안드로이드 시스템 TLS 및 WebView 애플리케이션이 보호되지만 Chrome과 같은 독립 실행형 브라우저는 자체 자동 내부 업데이트에 계속 의존합니다.

확인 및 테스트 엔드포인트

보안 관리자는 이 사고에 대해 설정된 독립적인 테스트 엔드포인트로 이동하여 로컬 장치 및 네트워크 수준 보안 동작을 검증할 수 있습니다.

기타 Zebra 및 Elo 제품

Zebra 산업용 및 데스크톱 프린터, 고정형 RFID 판독기, 머신 비전 시스템, 바코드 스캐너는 영향을 받는 eMudhra 인증서 체인을 활용하거나 신뢰하지 않으며 완전히 영향을 받지 않습니다.

마찬가지로, Elo 클라우드 서비스(EloView, Elo Radar, Elo Remote 포함)는 eMudhra 발급 인증서를 사용하지 않습니다. Elo는 영향을 받는 루트 인증서를 불신하기 위해 서버측 신뢰 저장소를 사전에 업데이트하고 있습니다. Elo 안드로이드 및 윈도우 하드웨어 제품은 위에 자세히 설명된 운영 체제 및 브라우저 지침과 완전히 일치합니다.

연락처 및 지원

추가 기술 지원, 하드웨어 확인 또는 엔터프라이즈 배포 문의:

면책 조항: Zebra는 구글에서 해당 보안 공지를 릴리스하는 시점에 대한 보안 업데이트를 릴리스하려고 모든 노력을 합니다. 그러나 보안 업데이트 실행 시간은 지역, 제품 모델, 타사 소프트웨어 공급업체에 따라 달라질 수 있습니다. 경우에 따라 보안 업데이트 설치 전에 OS를 최신 유지관리 릴리스로 업데이트해야 합니다. 개별 제품 업데이트에서 구체적인 지침을 제공합니다.

달리 명시되지 않는 한, 새로 보고된 문제에서 적극적인 고객 착취 또는 남용에 대한 보고는 없습니다.

Zebra Technologies 제품의 잠재적인 보안 문제를 알고 계십니까?