개발학과 브리핑
신뢰의 만료: 인증서 하나가 남긴 제도적 공백
우리는 정책이 문서상 폐기된 뒤에도 현장의 도구가 그 폐기를 따라가지 못하는 순간을 얼마나 자주 목격하는가.
사실
2026년 10월 29일 보도에 따르면, macOS 환경의 Git이 침해된 eMudhra 인증서를 여전히 신뢰하고 있습니다. 10월 28일까지도 이 문제가 해결되지 않아 사용자 보안 위협이 지속되고 있습니다.
풀이
인증서 신뢰는 한 번 배포되면 여러 계층의 저장소와 설정에 남습니다. 운영체제의 신뢰 저장소, Git이 참조하는 인증서 번들, 개별 개발자의 로컬 설정이 각각 다른 시점에 갱신되기 때문에 상위에서 폐기 결정이 나도 현장의 도구가 즉시 따라오지 않을 수 있습니다. 이 사건은 폐기 통보와 실제 도구 반영 사이의 시차가 사용자에게 그대로 노출되는 구조를 보여줍니다.
교수의 해석
교수의 해석: 이 사건의 핵심은 취약점 자체보다 '폐기 이후의 운영'입니다. 보안 정책은 선언되는 순간 작동하는 것이 아니라, 각 도구의 기본값과 업데이트 경로에 스며들 때 비로소 작동합니다. macOS Git이 침해 인증서를 계속 신뢰한다는 사실은 상위 정책과 하위 도구 사이의 책임 소재가 흐릿할 때 사용자가 그 공백을 떠안는다는 점을 시사합니다. 다만 이것이 특정 기관의 대응 실패인지, 도구 생태계의 구조적 지연인지는 공개된 정보만으로 단정할 수 없습니다.
생각해보기
우리가 신뢰를 폐기했다고 말할 때, 그 폐기가 실제 사용자의 도구에 도달했는지를 우리는 무엇으로 확인할 수 있을까요?
261031_06