Microsoft MVP성태의 닷넷 이야기
웹: 5. IIS 7에서 클라이언트 측 인증서 사용 시 주의점 [링크 복사], [링크+제목 복사],
조회: 33065
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 
(연관된 글이 5개 있습니다.)

클라이언트 측 SSL 인증서를 사용하는 웹 사이트가 얼마나 될지는 모르겠지만, 그래도 제가 겪은 시행착오를 하나 공유합니다.

저 같은 경우, 클라이언트 측 인증서를 이용하도록 구성해 놓은 일부 웹 페이지가 있습니다. 그러한 페이지들은 다음과 같이 반드시 클라이언트 측 인증서를 필요로 하도록 설정되어 있습니다.

ie7_revoke_error_403_2.png

이렇게 구성된 웹 사이트의 경우, IIS 7로 마이그레이션 한 이후 다음과 같은 오류 현상을 겪을 수 있습니다.

ie7_revoke_error_403_1.png

"
HTTP Error 403 - Forbidden: Access is denied.
Description: You do not have permission to view this directory or page 
using the credentials that you supplied.
"

좀 더 자세한 오류를 보기 위해서, IIS 7이 설치된 머신에서 직접 "https://localhost:443/test.aspx" URL을 입력하고 들어가면, 다음의 링크에 걸린 오류 화면을 볼 수 있습니다.

"자세한 오류 메시지 보기"

이번엔 좀 더 자세하게 다음과 같은 오류 로그를 포함하는 것을 알 수 있습니다.

"
Your client certificate was revoked, or the revocation status could not be determined.
"

그렇습니다. 문제의 원인은 클라이언트 측에서 제출한 인증서의 CRL 목록을 해당 경로에서 구할 수 없을 때, IIS 7 서버에서는 그 인증서에 대한 유효성 검사를 실패하여 그와 같은 오류 화면을 보내주는 것입니다.

이런 경우, 여러분들이 제출하는 클라이언트 측 인증서를 확인해서 아래와 같이 "CRL Distribution Points"의 URL로부터 실제로 CRL 파일을 다운로드할 수 있는지 검증해야 합니다.

ie7_revoke_error_403_3.png


만약, 이미 발행된 모든 클라이언트 인증서에 기재된 URL이 올바르지 않게 구성되어 있다면 다음과 같은 3가지 방법을 이용해서 이를 수정할 수 있습니다.

- 방법 1. 인증서 서비스의 CRL 배포 지점을 수정하고, 다시 모든 클라이언트로 하여금 인증서를 재발급 받도록 합니다. CRL 배포 지점을 수정하는 방법에 대해서는 다음의 토픽을 참고하십시오.

6. CRL(Certificate Revocation List) 관리
; https://www.sysnet.pe.kr/2/0/414

- 방법 2. 이미 발급된 클라이언트들에 대해서는 해당 PC의 HOSTS 파일을 적절하게 수정해 줍니다.

- 방법 3. 저도 아직 방법을 알지 못하고 있지만, IIS 7의 CRL 확인 옵션을 해제합니다. (아마 있거나, 정식 롱혼 서버 릴리즈에서는 있을 것 같습니다.)



이 외에, CRL 배포 지점이 잘못되는 것으로 인해 발생할 수 있는 문제점이라면 IE 7에서의 SSL 사이트 방문이 상당히 느려지는 현상을 경험할 수 있습니다. 이것은, IE 7이 기본적으로 해당 SSL 인증서의 CRL 파일을 확인하도록 설정되어 있는 것에서 나타나는 문제입니다. 다음 화면과 같이 "서버 인증서 해지 확인" 옵션이 제공되고 있으며, 이로 인해 HTTP 트래픽이 한 번 더 발생하게 됩니다. 만약 이 과정에서 해당 CRL 파일을 다운로드할 수 없으면 SSL 사이트 방문이 눈에 띄게 느립니다.

ie7_revoke_error_403_4.png




[이 토픽에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 7/10/2021]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 



2009-02-12 06시20분
[mcse99@dreamwiz.com] 인증서를 이용한 사용자 인증에 관한 자료를 찾다가 여기까지 왔습니다. 제 생각에는 클라이언트 인증서를 필요로 한다는 것은 클라이언트 컴퓨터에 대한 인증일 수도 있겠지만 클라이언트 사용자에 대한 인증이 더 필요한게 아닌가 합니다.

상용 솔루션(PKI기반 SSO)이 아니고 기본 기능만으로 인증서를 이용해서 사용자인증이 가능하지가 궁금한 부분입니다.(일종의 SSO라고 보아야 하겠죠.) 물론 다대일 매핑을 생성함에 있어서 손이 갈 수 밖에 없겠지만 이론적으로 가능한지가 궁금하네요.(2008에는 이 설정을 할 수 있는 UI자체가 없는지라 2003을 확인하였는데 이론적으로는 가능한 것으로 보여집니다.)
[guest]
2009-02-12 09시10분
IIS 7 Walkthrough: One to One Client Certificate Mapping Configuration
; http://blogs.iis.net/rlucero/archive/2008/05/23/iis-7-walkthrough-one-to-one-client-certificate-mapping-configuration.aspx

말씀하신 다대일 매핑이라는 것이, 여러 개의 인증서를 하나의 사용자 인증으로 매핑시킨다는 거라면, IIS 6에서도 지원했으니 IIS 7에서는 위의 방법을 이용해서 기본적으로 지원이 됩니다.
kevin25

... 166  [167]  168  169  170  171  172  173  174  175  176  177  178  179  180  ...
NoWriterDateCnt.TitleFile(s)
858정성태4/29/201030172제니퍼 .NET: 2. JENNIFER .NET을 이용한 .NET 웹 사이트 모니터링 (2) - 설치 [3]
857정성태4/27/201028262제니퍼 .NET: 1. JENNIFER .NET을 이용한 .NET 웹 사이트 모니터링 (1) - 임시 라이선스 요청 및 다운로드
855정성태4/24/201025201.NET Framework: 176. DataContext가 thread-safe한 것인가?
854정성태4/22/201022065오류 유형: 94. 팀 프로젝트 생성 오류 - TF218017, TF250044
853정성태4/22/201022703오류 유형: 93. TFS 2010 오류: rsProcessingAborted, rsErrorExecutingCommand
852정성태4/21/201023906Team Foundation Server: 33. 단일 서버에 Team Foundation Server 2010 설치하는 방법
851정성태4/14/201034411오류 유형: 92. Task Scheduler 오류: 2147942667 (0x8007010B)
850정성태4/7/201022947.NET Framework: 175. WCF - webHttpBinding + PUT 메서드 구현파일 다운로드1
848정성태3/30/201036586개발 환경 구성: 73. 한 대의 PC에서 여러 개의 키입력 매크로 프로그램이 가능할까? [5]파일 다운로드5
846정성태3/29/201034513VC++: 39. C++에서 싱글톤 구현하기 [8]파일 다운로드1
844정성태3/19/201021948개발 환경 구성: 72. Adobe Creative Suite 3 Master Collection - 하드 디스크로부터 설치하는 방법
843정성태3/19/201030945Windows: 50. Windows Server 2008 R2 시스템에 Windows 7 멀티 부팅하는 방법
842정성태3/17/201026562Windows: 49. VHD 파일 지원
841정성태3/16/201027185.NET Framework: 174. 작업자 프로세스(w3wp.exe)가 재시작되는 시점을 알 수 있는 방법 [1]
840정성태3/4/201020636개발 환경 구성: 71. w3wp.exe에 환경 변수 전달하는 방법 [1]
836정성태2/13/201024017VS.NET IDE: 67. Visual Studio 2010: 베타 2에서 RC 마이그레이션
835정성태1/26/201025285.NET Framework: 173. WCF - webHttpBinding + IIS 6.0 윈도우 인증 구현 예제 [3]파일 다운로드1
834정성태1/25/201025749.NET Framework: 172. WCF - webHttpBinding 윈도우 인증 구현 예제 [3]파일 다운로드1
833정성태1/25/201025101.NET Framework: 171. WCF - webHttpBinding 구현 예제 [1]파일 다운로드1
832정성태1/25/201028959.NET Framework: 170. PerformanceCounter의 RawValue/NextValue()에서 멈춤 현상
831정성태1/14/201018762개발 환경 구성: 70. WSS - check out 메뉴에서 오류나는 문제
830정성태1/10/201023209개발 환경 구성: 69. Windows Internal Database
829정성태1/7/201022668개발 환경 구성: 68. ODP.NET + OraMTS 사용
828정성태1/7/201030630개발 환경 구성: 67. 환경 변수를 이용한 다중 ODAC 버전 테스트
827정성태1/4/201022806개발 환경 구성: 66. .NET 응용 프로그램에서 64비트 Oracle Data Access Components 사용 (2)
826정성태1/3/201030227기타: 28. 2009년 인기 순위 정리
... 166  [167]  168  169  170  171  172  173  174  175  176  177  178  179  180  ...