웹: 5. IIS 7에서 클라이언트 측 인증서 사용 시 주의점

(연관된 글이 5개 있습니다.)

클라이언트 측 SSL 인증서를 사용하는 웹 사이트가 얼마나 될지는 모르겠지만, 그래도 제가 겪은 시행착오를 하나 공유합니다.

저 같은 경우, 클라이언트 측 인증서를 이용하도록 구성해 놓은 일부 웹 페이지가 있습니다. 그러한 페이지들은 다음과 같이 반드시 클라이언트 측 인증서를 필요로 하도록 설정되어 있습니다.

이렇게 구성된 웹 사이트의 경우, IIS 7로 마이그레이션 한 이후 다음과 같은 오류 현상을 겪을 수 있습니다.

"
HTTP Error 403 - Forbidden: Access is denied.
Description: You do not have permission to view this directory or page 
using the credentials that you supplied.
"

좀 더 자세한 오류를 보기 위해서, IIS 7이 설치된 머신에서 직접 "https://localhost:443/test.aspx" URL을 입력하고 들어가면, 다음의 링크에 걸린 오류 화면을 볼 수 있습니다.

"자세한 오류 메시지 보기"

이번엔 좀 더 자세하게 다음과 같은 오류 로그를 포함하는 것을 알 수 있습니다.

"
Your client certificate was revoked, or the revocation status could not be determined.
"

그렇습니다. 문제의 원인은 클라이언트 측에서 제출한 인증서의 CRL 목록을 해당 경로에서 구할 수 없을 때, IIS 7 서버에서는 그 인증서에 대한 유효성 검사를 실패하여 그와 같은 오류 화면을 보내주는 것입니다.

이런 경우, 여러분들이 제출하는 클라이언트 측 인증서를 확인해서 아래와 같이 "CRL Distribution Points"의 URL로부터 실제로 CRL 파일을 다운로드할 수 있는지 검증해야 합니다.

만약, 이미 발행된 모든 클라이언트 인증서에 기재된 URL이 올바르지 않게 구성되어 있다면 다음과 같은 3가지 방법을 이용해서 이를 수정할 수 있습니다.

- 방법 1. 인증서 서비스의 CRL 배포 지점을 수정하고, 다시 모든 클라이언트로 하여금 인증서를 재발급 받도록 합니다. CRL 배포 지점을 수정하는 방법에 대해서는 다음의 토픽을 참고하십시오.

6. CRL(Certificate Revocation List) 관리
; https://www.sysnet.pe.kr/2/0/414

- 방법 2. 이미 발급된 클라이언트들에 대해서는 해당 PC의 HOSTS 파일을 적절하게 수정해 줍니다.

- 방법 3. 저도 아직 방법을 알지 못하고 있지만, IIS 7의 CRL 확인 옵션을 해제합니다. (아마 있거나, 정식 롱혼 서버 릴리즈에서는 있을 것 같습니다.)

이 외에, CRL 배포 지점이 잘못되는 것으로 인해 발생할 수 있는 문제점이라면 IE 7에서의 SSL 사이트 방문이 상당히 느려지는 현상을 경험할 수 있습니다. 이것은, IE 7이 기본적으로 해당 SSL 인증서의 CRL 파일을 확인하도록 설정되어 있는 것에서 나타나는 문제입니다. 다음 화면과 같이 "서버 인증서 해지 확인" 옵션이 제공되고 있으며, 이로 인해 HTTP 트래픽이 한 번 더 발생하게 됩니다. 만약 이 과정에서 해당 CRL 파일을 다운로드할 수 없으면 SSL 사이트 방문이 눈에 띄게 느립니다.

[이 토픽에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[다음 글] Windows: 9. VS.NET 2005 원격 디버깅 구성
[이전 글] Windows: 8. VS.NET 2005에서의 웹 애플리케이션 디버깅 설정

[연관 글]

[최초 등록일: 12/25/2006]
[최종 수정일: 7/10/2021]

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

by SeongTae Jeong, mailto:techsharer at outlook.com

No	Writer	Date	Cnt.	Title	File(s)
380	정성태	10/28/2006	27998	.NET Framework: 74.3. 웹 서비스와 닷넷 리모팅으로써의 WCF 구현	1
381	정성태	10/28/2006	30317	.NET Framework: 74.4. WCF 서비스 참조 추가 메뉴 [2]
382	정성태	10/28/2006	36338	.NET Framework: 74.5. WCF 서비스를 IIS에서 호스팅하는 방법	1
383	정성태	10/28/2006	31173	.NET Framework: 74.6. IIS 6.0: 다중 Endpoint 제공	1
384	정성태	10/28/2006	28114	.NET Framework: 74.7. IIS 7.0: 다중 Endpoint 제공
389	정성태	11/11/2006	30960	.NET Framework: 74.8. WCF에 SSL 적용 (1) - Httpcfg.exe 도구를 이용한 SSL 설정
390	정성태	11/6/2006	28096	.NET Framework: 74.9. WCF에 SSL 적용 (2) - 서비스 제작	1
356	정성태	10/7/2006	23647	COM 개체 관련: 19. COM의 Apartment를 이해해 보자. [8]
386	light	10/30/2006	18598	COM 개체 관련: 19.1. [답변]: COM 객체를 글로벌마샬으로 만든후, 사용한다.
355	정성태	10/9/2006	26311	개발 환경 구성: 19. Internet_Zone 하위에 새로운 코드 그룹을 추가하는 예제 [4]	2
353	정성태	12/31/2006	34630	개발 환경 구성: 18. 윈도우즈 인증서 서비스 이야기 [3]
354	정성태	10/23/2006	37029	개발 환경 구성: 18.1. 윈도우즈 인증서 서비스 설치
372	정성태	12/31/2006	38972	개발 환경 구성: 18.2. 웹 사이트에 SSL을 적용 [3]
373	정성태	10/24/2006	30228	개발 환경 구성: 18.3. 사용자 입장에서의 HTTPS 접근 (1)
374	정성태	10/25/2006	27621	개발 환경 구성: 18.4. 사용자 입장에서의 HTTPS 접근 (2)
391	정성태	11/7/2006	31858	개발 환경 구성: 18.5. 사용자 인증서 발급
392	정성태	11/11/2006	44944	개발 환경 구성: 18.6. 인증서 관리 (1) - 내보내기/가져오기
394	정성태	11/9/2006	29579	개발 환경 구성: 18.7. 인증서 관리 (2) - 개인키를 내보낼 수 있는 유형의 인증서 발급 [1]
395	정성태	11/9/2006	41546	개발 환경 구성: 18.8. 인증서 관리 (3) - 인증서 MMC 관리자 사용
414	정성태	12/23/2006	33348	개발 환경 구성: 18.9. CRL(Certificate Revocation List) 관리
428	정성태	12/31/2006	46238	개발 환경 구성: 18.10. IIS 7 - SSL 사이트 설정하는 방법 [4]
429	정성태	12/31/2006	32419	개발 환경 구성: 18.11. 서비스를 위한 인증서 설치
352	정성태	10/2/2006	22003	개발 환경 구성: 17. VPC에 Linux 설치하는 방법 [1]
351	정성태	10/8/2006	24470	개발 환경 구성: 16. 성태의 무식한(!) 리눅스 탐방기. [4]
349	정성태	9/26/2006	23109	디버깅 기술: 10. C++/CLI에서 제공되는 명시적인 파괴자의 비밀
347	정성태	10/6/2006	27030	디버깅 기술: 9. .NET IDisposable 처리 정리 [1]

Writer

Date

Cnt.

Title

File(s)

380

정성태

10/28/2006

27998