[SSL] SSL 인증서에 대해서.. (HTTPS)

도메인 사용을 위해 ssl 인증서를 적용하게 되었다.

정말 1도 몰라서 넘 힘들었다

그래서 적용 과정 중에 알게 된 몇가지를 정리해봤다.

 

SSL/TLS

https 프로토콜을 사용하려면 인증이 필요하다. 

https는 요청/응답을 보낼 때 암호화를 하게 되는데, 이때 제공되는 보안계층이 SSL이다.

http://www.ktword.co.kr/test/view/view.php?m_temp1=3132

SSL 개발 후에 표준화되면서 TLS라는 이름으로 변경되었다. 두 용어 모두 혼용해서 사용되지만 SSL로 더 많이 불리는 듯 하다.

SSL 3.0 = TLS 1.0

CA (= Certificate Authority)

클라이언트가 접속하려는 서버가 신뢰할 수 있는지를 보증해줘야하는데, 이 보증을 해주는 민간 기업이다. 공인된 신뢰도있는 기업들만 CA가 될 수 있다.

브라우저에서는 이 보증된 CA 목록과 CA의 공개키를 이미 알고있다고 한다. (소스코드에 리스트가 들어있음)

 

SSL 암호화 방법

• 대칭키

암호화를 할 때 key값을 사용하는 방법.

암호화할 때 사용한 key를 알아야 복호화를 할 수 있다.

장점 컴퓨팅 파워가 적게 필요

단점 암호를 할 때 일일이 사용자들에게 키를 공유하기가 어렵고, 유출된다면 악의적인 사용자가 모든 암호를 복호화할 수 있음 → 공개키 방식 등장

 

• 공개키

두 개의 key 쌍으로 암/복호화를 하는 방법.

public key(공개키): 타인에게 제공되는 키. public key를 이용해 정보를 암호화 후 개인키를 가진 사용자가에게 전송

private key(개인키): 비공개 키. private key를 이용해 암호화된 데이터를 복호화함.

장점 안전함

단점 컴퓨팅 파워가 많이 필요

 

 

SSL 인증서

통신을 제3자(CA)가 보증해주는 문서. 

1. 클라이언트가 서버에 접속할 때 서버에서 인증서를 제공한다.
2. 인증서를 발급한 CA가 리스트에 있는지 브라우저에서 확인한다.
3. 브라우저 CA 리스트에 있다면 CA의 공개키로 인증서를 복호화한다.
   → 복호화 성공: CA의 비공개키(private key)에 의해 암호화 됐다는 뜻 = 서버가 제공한 인증서가 CA에 의해서 발급된 인증된 문서임을 확인 = 신뢰할 수 있음
   → 복호화 실패: CA의 비공개키에 의해 암호화되지 않았다는 뜻 = 신뢰할 수 없음

 

SSL 통신 방법

네트워크 통신 과정: 핸드쉐이크 → 세션  → 세션 종료

이부분은 아래에 잘 정리되어 있다.

https://opentutorials.org/course/228/4894

https://wayhome25.github.io/cs/2018/03/11/ssl-https/

• 핸드쉐이크 과정: 공개키 방식
• 세션 단계: 대칭키 방식(session key 사용)

공개키 방식의 경우 자원소모가 크기 때문에 핸드쉐이크에서만 공개키 방식을 사용하고, 신뢰할 수 있는 서버로 보증된 다음 단계인 세션 단계에서는 핸드쉐이크 과정에서 생성된 session key를 사용해 대칭키 방식으로 통신을 한다.

---

SSL 인증서 체인

인증서 체인의 경우 일반적으로 아래와 같이 3계층으로 구성되어 있다.

인증서 - 중간 인증서(intermediate certificate) - Root 인증서

 

1. 인증서: 중간 인증서 서버 공개키로 signature를 복호화하여 신뢰성 검증
2. 중간 인증서: Root 인증서 서버 공개키로 signature를 복호화하여 신뢰성 검증
3. Root 인증서: 서버 공개키로 signature를 복호화하여 신뢰성 검증

 

Hue에서 SSL 인증서 적용 방법에 대해서 적은 글이 있는데, 위 내용 이해 후에 각 설정값이 어떤건지 이해할 수 있었다.

https://quackstudy.tistory.com/entry/Hue-SSL-%EC%A0%81%EC%9A%A9-%EB%B0%A9%EB%B2%95

 

나같은 경우는 CA인증서가 뭔지 뭔지 좀 헤맸었다 ㅠ

보통 CA인증서 내에 Root 인증서까지 포함되어 있는데(추측임), 내가 처음에 전달받은 인증서가 intermediate 인증서여서 계속 verify failed가 떴었다. 인증기관 사이트(?)에서 Root 인증서를 다운받고, intermediate와 root를 합친 파일을 등록 후에 성공할 수 있었다.