J & J - 정성태의 닷넷 이야기

사용자

메뉴

최근 덧글

[정성태] 그냥 RSS Reader 기능과 약간의 UI 편의성 때문에 사용...[이종효] 오래된 소프트웨어는 보안 위협이 되기도 합니다. 혹시 어떤 기능...[정성태] @Keystroke IEEE의 문서를 소개해 주시다니... +_...[손민수 (Keystroke)] 괜히 듀얼채널 구성할 때 한번에 같은 제품 사라고 하는 것이 아...[정성태] 전각(Full-width)/반각(Half-width) 기능을 토...[정성태] Vector에 대한 내용은 없습니다. Vector가 닷넷 BCL...[orion] 글 읽고 찾아보니 디자인 타임에는 InitializeCompon...[orion] 연휴 전에 재현 프로젝트 올리자 생각해 놓고 여의치 않아서 못 ...[정성태] 아래의 글에 정리했으니 참고하세요. C# - Typed D...[정성태] 간단한 재현 프로젝트라도 있을까요? 저런 식으로 설명만 해...

글쓰기

제목

이름

암호

전자우편

HTML

홈페이지

유형

내용

<div style='display: inline'>
<h1 style='font-family: Malgun Gothic, Consolas; font-size: 20pt; color: #006699; text-align: center; font-weight: bold'>openssl - 윈도우 환경의 명령행에서 SAN 적용하는 방법</h1>

방법은 아래의 글에 잘 나옵니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Provide subjectAltName to openssl directly on the command line
; <a target='tab' href='https://security.stackexchange.com/questions/74345/provide-subjectaltname-to-openssl-directly-on-the-command-line'>https://security.stackexchange.com/questions/74345/provide-subjectaltname-to-openssl-directly-on-the-command-line</a>
</pre>
 
-config 옵션을 이용해 conf 파일로 subjectAltName을 적용하는 방법은 이미 저도 설명한 적이 있습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
openssl - CA로부터 인증받은 새로운 인증서를 생성하는 방법
; <a target='tab' href='https://www.sysnet.pe.kr/2/0/12570#san'>https://www.sysnet.pe.kr/2/0/12570#san</a>
</pre>
 
반면, 순수하게 명령행을 이용하는 것으로는 'addext' 옵션이 있다고 하는데요, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
openssl req -key win10en.key -new -out win10en.csr -subj "/CN=win10en" -addext "subjectAltName=DNS:win10en"
</pre>
 
실제로 위의 csr 파일을 crt 인증서로 만들었을 때, 윈도우의 인증서 정보 창으로는 "Subject Alternative Name" 항목이 없습니다. 참고로 addext 옵션은 openssl 1.1.1 버전 이후부터 지원한다고 하는데, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
c:\temp&gt; openssl version
OpenSSL 3.0.7 1 Nov 2022 (Library: OpenSSL 3.0.7 1 Nov 2022)
</pre>
 
제가 사용하는 것은 "3.0.7"임에도 안 되고 있습니다. (윈도우 버전의 openssl에 문제일까요? ^^;) 
 
어쩔 수 없이 외부 파일을 도입해야 합니다. 일단 -config 파일까지는 아니더라도 간단하게 -extfile 옵션으로 처리하는 방법 정도가 최선일 듯합니다. 따라서, CSR 파일 생성 단계가 아닌 CA 인증서로 서명할 때 다음과 같이 -extfile을 이용해 subjectAltName을 지정할 수 있습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
c:\temp&gt; type ssl_conf.txt
subjectAltName=DNS:win10en

c:\temp&gt; openssl x509 -req -days 3650 -in win10en.csr ...[생략]... -out win10en.crt -extfile ssl_conf.txt
</pre>
 
이렇게 해서 생성한 CRT 파일을 보면 Subject Alternative Name 항목이 정확하게 나옵니다. ^^ 
 
<img alt='openssl_san_option_1.png' src='/SysWebRes/bbs/openssl_san_option_1.png' />

<hr />[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

</div>

첨부파일

스팸 방지용 인증 번호

1177 (왼쪽의 숫자를 입력해야 합니다.)