Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 
(연관된 글이 4개 있습니다.)
(시리즈 글이 10개 있습니다.)
개발 환경 구성: 555. openssl - CA로부터 인증받은 새로운 인증서를 생성하는 방법
; https://www.sysnet.pe.kr/2/0/12570

개발 환경 구성: 565. PowerShell - New-SelfSignedCertificate를 사용해 CA 인증서 생성 및 인증서 서명 방법
; https://www.sysnet.pe.kr/2/0/12588

개발 환경 구성: 654. openssl - CA로부터 인증받은 새로운 인증서를 생성하는 방법 (2)
; https://www.sysnet.pe.kr/2/0/13187

개발 환경 구성: 662. openssl - 윈도우 환경의 명령행에서 SAN 적용하는 방법
; https://www.sysnet.pe.kr/2/0/13235

개발 환경 구성: 663. openssl을 이용해 인트라넷 IIS 사이트의 SSL 인증서 생성
; https://www.sysnet.pe.kr/2/0/13236

개발 환경 구성: 681. openssl - 인증서 버전(V1 / V3)
; https://www.sysnet.pe.kr/2/0/13371

개발 환경 구성: 686. 비주얼 스튜디오로 실행한 ASP.NET Core 사이트를 WSL 2 인스턴스에서 https로 접속하는 방법
; https://www.sysnet.pe.kr/2/0/13442

개발 환경 구성: 687. OpenSSL로 생성한 사용자 인증서를 ASP.NET Core 웹 사이트에 적용하는 방법
; https://www.sysnet.pe.kr/2/0/13443

Linux: 62. 리눅스/WSL에서 CA 인증서를 저장하는 방법
; https://www.sysnet.pe.kr/2/0/13445

닷넷: 2162. ASP.NET Core 웹 사이트의 SSL 설정을 코드로 하는 방법
; https://www.sysnet.pe.kr/2/0/13447




openssl을 이용해 인트라넷 IIS 사이트의 SSL 인증서 생성

전에 이미 아래와 같이 정리를 했었는데요,

openssl - CA로부터 인증받은 새로운 인증서를 생성하는 방법
; https://www.sysnet.pe.kr/2/0/12570

openssl - CA로부터 인증받은 새로운 인증서를 생성하는 방법 (2)
; https://www.sysnet.pe.kr/2/0/13187

이번에는 사내 테스트용의 IIS 서버에 설치할 인증서를 대상으로 시나리오를 정리해 보겠습니다. 참고로, 다른 블로그의 많은 글들이 "루트 인증서이면서 SSL 인증서 역할을 갖는 1개의 인증서"로 설치하는 방법을 설명하고 있는데요, 제 글에서는 정석적으로 "인증 기관(CA: Certificate Authority)의 인증서"를 생성하고 IIS에서 사용할 인증서는 그 인증 기관으로부터 서명 받는 것으로 진행할 것입니다.




당연히 지난 글에 설명한 방법에 따라 우선 CA 인증서를 생성해야 합니다.

c:\temp> openssl req -newkey rsa:2048 -nodes -keyout win10en_ca.key -x509 -days 3650 -out win10en_ca.crt

그다음, 그 CA 인증서로 서명할 SSL용 인증서 요청(csr) 파일을 만듭니다.

c:\temp> openssl genrsa -out win10en.key 2048
c:\temp> openssl req -key win10en.key -new -out win10en.csr -subj "/CN=win10en"

마지막으로 생성한 CSR 파일을 CA 인증서로 서명하면,

c:\temp> type ssl_conf.txt
subjectAltName=DNS:win10en

c:\temp> openssl x509 -req -days 3650 -in win10en.csr -CA win10en_ca.crt -CAkey win10en_ca.key -out win10en.crt -extfile ssl_conf.txt

기본적인 인증서 준비 절차는 끝이 납니다.

그런데, 아직 한 단계가 더 남았습니다. 위에서 CA 인증서로 서명해 생성한 win10en.crt는 공개키만 가지고 있는 상태입니다. 따라서 이대로는 SSL 서비스를 제공하는 서버 측에서 사용할 수는 없습니다.

즉, 개인키까지 포함한 인증서가 필요한 건데요, 이를 위해 기존에 생성한 개인키 파일을 합쳐주는 다음의 명령어를 실행합니다.

c:\temp> openssl pkcs12 -export -out win10en.pfx -inkey win10en.key -in win10en.crt

이렇게 해서, 다음의 2가지 핵심 파일을 가지고 이후 작업을 진행할 수 있습니다.

  • win10en_ca.crt: 인증 기관의 (공개키만 담은) 인증서
  • win10en.pfx: (인증 기관으로부터 서명한, 개인키를 포함한) SSL 인증서




이제 생성한 인증서를 IIS 서버에 등록해 보겠습니다.

우선, CA 인증서에 해당하는 win10en_ca.crt는 "Certificates - Local Computer" / "Trusted Root Certification Authority" 영역에 등록합니다. (규칙은 모르겠지만 어떤 경우에는 "Test Roots" 영역도 가능합니다.) 그다음 웹 사이트의 SSL 서비스에 사용할 win10en.pfx는 "Certificates - Local Computer" / "Web Hosting" 영역에 등록합니다.

iis_ssl_test_cert_0.png

이후, IIS 관리 콘솔로 들어가 웹 사이트를 선택한 다음, "Bindings..." 링크를 통해 https 바인딩에 대한 인증서 선택으로 들어가 "Web Hosting"에 등록했던 인증서를 선택하면 됩니다.

iis_ssl_test_cert_1.png

이 상태에서는, IIS를 호스팅하는 컴퓨터 내에서는 (win10en이 현재 컴퓨터의 이름이거나, HOSTS 파일에 등록한 경우) "http://win10en" 주소로 웹 브라우저를 이용해 접속하면 정상적으로 서비스가 되는 것을 확인할 수 있습니다.

하지만, 다른 컴퓨터에서 접속하면 다음과 같은 오류가 발생합니다.

Your connection isn't private
Attackers might be trying to steal your information from win10en (for example, passwords, messages, or credit cards).
NET::ERR_CERT_AUTHORITY_INVALID

This server couldn't prove that it's win10en; its security certificate is not trusted by your computer's operating system. This may be caused by a misconfiguration or an attacker intercepting your connection.

이유는 간단합니다. 다른 컴퓨터에서는 웹 브라우저로 해당 웹 사이트에 접속 시 전달받은 SSL 인증서를 신뢰할 수 없기 때문입니다. 이를 위해서는 다른 컴퓨터에 CA 인증서를 함께 설치해야 합니다.

따라서 이 글에서 실습한 내용의 경우 win10en_ca.crt 인증서 파일을 다른 컴퓨터에도 등록해야 하는데 마찬가지로 "Trusted Root Certification Authority" 영역에 등록하면 됩니다.




잠시 정리를 해보면, 다른 컴퓨터에서 접속했을 때 중요한 것은 해당 웹 사이트의 SSL 인증서를 어떻게 신뢰할 수 있느냐입니다. 여러분이 웹상의 많은 https 사이트를 방문했을 때 아무런 오류 없이 접속이 가능했던 것은, 그 웹 사이트들이 사용하는 SSL 인증서를 서명한 CA 루트 인증서가 이미 여러분의 컴퓨터에 등록돼 있기 때문입니다.

그렇기 때문에, 이 글에서 실습한 SSL 인증서 역시 신뢰를 하기 위해서는 그 SSL 인증서를 서명한 CA 루트 인증서가 여러분의 컴퓨터에 미리 등록돼 있어야 하는 것입니다. 사실 이 작업이 귀찮기 때문에, 일반적인 공개 웹 서버에서는 대중들을 상대로 이 글에서처럼 만든 인증서로 서비스할 수는 없습니다.

단지, 사내에서 운영하는 정도라면 규모에 따라서는 CA 루트 인증서를 개별 컴퓨터에 설치해 주면 되므로 그나마 현실성 있게 사용할 수 있습니다. 물론, 규모 있는 회사라면 이런 작업들이 귀찮은 수준에 이르게 되는데요, 바로 그런 경우에 "Active Directory" 서비스의 역할이 대두되게 됩니다. AD는 인증서 관리 서버와 협업할 수 있고, 게다가 AD에 등록된 모든 컴퓨터들은 CA 인증서가 자동으로 설치되므로 별도의 인증서 관리 작업이 필요 없게 되는 것입니다.




웹 브라우저 방문 시, 다음과 같은 오류 메시지를 보게 된다면?

The certificate for this site is not valid.

Because this connection is not secure, information (such as passwords or credit cards) will not be securely sent to this site and may be intercepted or seen by others.

We suggest you don't enter personal information into this site or avoid using this site.​

Your connection isn't private

Attackers might be trying to steal your information from win10en (for example, passwords, messages, or credit cards).
NET::ERR_CERT_COMMON_NAME_INVALID

This server couldn't prove that it's win10en; its security certificate does not specify Subject Alternative Names. This may be caused by a misconfiguration or an attacker intercepting your connection.

메시지에 나온 대로 Subject Alternative Names를 지정하지 않았기 때문입니다. (이 글에서도 그렇게 하고 있지만) 아래의 글에 따라,

openssl - 윈도우 환경의 명령행에서 SAN 적용하는 방법
; https://www.sysnet.pe.kr/2/0/13235

SAN을 지정해 인증서를 생성해야만 합니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 11/15/2023]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




1  2  3  4  5  6  7  8  9  [10]  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13447정성태11/16/20233963닷넷: 2162. ASP.NET Core 웹 사이트의 SSL 설정을 코드로 하는 방법
13446정성태11/16/20233850닷넷: 2161. .NET Conf 2023 - Day 1 Blazor 개요 정리
13445정성태11/15/20234280Linux: 62. 리눅스/WSL에서 CA 인증서를 저장하는 방법
13444정성태11/15/20233998닷넷: 2160. C# 12 - Experimental 특성 지원
13443정성태11/14/20233936개발 환경 구성: 687. OpenSSL로 생성한 사용자 인증서를 ASP.NET Core 웹 사이트에 적용하는 방법
13442정성태11/13/20233697개발 환경 구성: 686. 비주얼 스튜디오로 실행한 ASP.NET Core 사이트를 WSL 2 인스턴스에서 https로 접속하는 방법
13441정성태11/12/20234163닷넷: 2159. C# - ASP.NET Core 프로젝트에서 서버 Socket을 직접 생성하는 방법파일 다운로드1
13440정성태11/11/20233625Windows: 253. 소켓 Listen 시 방화벽의 Public/Private 제어 기능이 비활성화된 경우
13439정성태11/10/20234628닷넷: 2158. C# - 소켓 포트를 미리 시스템에 등록/예약해 사용하는 방법(Port Exclusion Ranges)파일 다운로드1
13438정성태11/9/20233918닷넷: 2157. C# - WinRT 기능을 이용해 윈도우에서 실행 중인 Media App 제어
13437정성태11/8/20234043닷넷: 2156. .NET 7 이상의 콘솔 프로그램을 (dockerfile 없이) 로컬 docker에 배포하는 방법
13436정성태11/7/20234297닷넷: 2155. C# - .NET 8 런타임부터 (Reflection 없이) 특성을 이용해 public이 아닌 멤버 호출 가능
13435정성태11/6/20234151닷넷: 2154. C# - 네이티브 자원을 포함한 관리 개체(예: 스레드)의 GC 정리
13434정성태11/1/20233871스크립트: 62. 파이썬 - class의 정적 함수를 동적으로 교체
13433정성태11/1/20233451스크립트: 61. 파이썬 - 함수 오버로딩 미지원
13432정성태10/31/20233805오류 유형: 878. 탐색기의 WSL 디렉터리 접근 시 "Attempt to access invalid address." 오류 발생
13431정성태10/31/20234221스크립트: 60. 파이썬 - 비동기 FastAPI 앱을 gunicorn으로 호스팅
13430정성태10/30/20234010닷넷: 2153. C# - 사용자가 빌드한 ICU dll 파일을 사용하는 방법
13429정성태10/27/20234239닷넷: 2152. Win32 Interop - C/C++ DLL로부터 이중 포인터 버퍼를 C#으로 받는 예제파일 다운로드1
13428정성태10/25/20234343닷넷: 2151. C# 12 - ref readonly 매개변수
13427정성태10/18/20234499닷넷: 2150. C# 12 - 정적 문맥에서 인스턴스 멤버에 대한 nameof 접근 허용(Allow nameof to always access instance members from static context)
13426정성태10/13/20234539스크립트: 59. 파이썬 - 비동기 호출 함수(run_until_complete, run_in_executor, create_task, run_in_threadpool)
13425정성태10/11/20234369닷넷: 2149. C# - PLinq의 Partitioner<T>를 이용한 사용자 정의 분할파일 다운로드1
13423정성태10/6/20234407스크립트: 58. 파이썬 - async/await 기본 사용법
13422정성태10/5/20234525닷넷: 2148. C# - async 유무에 따른 awaitable 메서드의 병렬 및 예외 처리
13421정성태10/4/20234657닷넷: 2147. C# - 비동기 메서드의 async 예약어 유무에 따른 차이
1  2  3  4  5  6  7  8  9  [10]  11  12  13  14  15  ...