webpki-roots 버전 고정 시 주의사항: 1.0.9는 eMudhra 루트를 여전히 신뢰합니다

요약

본 글은 암호화 신뢰 앵커(trust anchors)와 관련된 보안 분석입니다. `rustls`를 사용하는 경우, `webpki-roots`의 오래된 버전을 고정(pinning)하면 주요 플랫폼에서 폐기한 eMudhra 같은 위험한 루트 인증서를 여전히 신뢰할 수 있다는 경고가 핵심입니다. 개발자는 이 취약점을 해결하기 위해 반드시 `cargo update -p webpki-roots` 명령어를 실행하여 의존성을 업데이트해야 합니다.

핵심 포인트

• 오래된 `webpki-roots` 버전 고정은 보안 위험을 초래합니다.
• 버전 1.0.9는 폐기된 eMudhra 루트 인증서를 신뢰하는 문제가 있습니다.
• 해결책으로 `cargo update -p webpki-roots`를 실행해야 합니다.
• 루트 의존성을 사용하는 경우 emSign 관련 검토가 필요합니다.