Microsoft MVP성태의 닷넷 이야기
windows 2008 r2에서 ms-sql 2008 서버사용시 tls문제점 [링크 복사], [링크+제목 복사]
조회: 19052
글쓴 사람
임종복 (limjongbok at hanafos.com)
홈페이지
첨부 파일
 
(연관된 글이 2개 있습니다.)

안녕하세요?
오랜만에 글을 써봅니다.
제목처럼 windows 2008 r2에서 ms-sql 2008 서버사용시 tls문제점이란 내용이며

windows 2008 r2의 tls1.0을 비활성화하면(통신 보안채널-schannel)
ms-sql 2008 서비스가 동작을 하지 않습니다.
(사용환경은 iis 7.5를 통한 asp.net 웹서비스를 제공하는 용도의 DB, 또한 https만 사용)

아래는 MSSQL 에러로그 내용입니다.

1. 인증서사용을 강제하지 않는 경우의 tls1.0 사용 여부의 경우

--> tls1.0을 활성화한 후 정상일경우
A self-generated certificate was successfully loaded for encryption.

--> tls1.0을 해제한 후 비정상일경우 : 오류발생
The server could not load the certificate it needs to initiate an SSL connection....

2. 인증서사용을 강제할 경우의 tls1.0 사용 여부의 경우

--> tls1.0을 활성화한 후 정상일경우
..The certificate [Cert Hash(sha1) "0D5.....BB84F572"] was successfully loaded for encryption.

--> tls1.0을 해제한 후 비정상일경우 : 오류발생
..Unable to load user-specified certificate [Cert Hash(sha1) "0D50F0F....BB84F572"]. The server will not accept a connection. You should verify that the certificate is correctly installed. See "Configuring Certificate for Use by SSL" in Books Online.

ㅇ 궁굼한 점
tls1.0을 사용하지 않고 MS-SQL 서비스를 작동하여 https(443)서비스를 할 수 있는 방법이 없을까요?

또한 MS에 문의를 해보니 별도의 기술지원이 필요한 것으로 질문에 대한 해결 여부또는 알려주지 않는군요

한해의 마지막 날인데 이것때문에 몇일밤을 고생하네요.
좋은 답변 부탁드립니다.


[연관 글]






[최초 등록일: ]
[최종 수정일: 12/31/2014]


비밀번호

댓글 작성자
 



2015-01-01 02시55분
좀 더 정보가 필요할 것 같습니다. 그러니까, 오류가 MSSQL과 IIS 간에 발생한다는 것인가요? 그리고, 인증서를 MSSQL 측에 설치했다는 것인가요? 해당 현상을 재현할 수 있도록 좀 더 자세한 절차를 기술해 주세요. ^^
정성태
2015-01-02 05시11분
[임종복] 1. 테스트 환경은
  - WINDOWS 2008 R2
  - iis 7.5에서 https 구성 : openssl 1.0.1j로 CA 인증서(AES256-SHA256 설정, tls1.2 충족) 및 서버 인증서 설정
  - MSSQL 2008 R2(openssl 인증서를 이용하여, 구성관리자>SQL네트워크구성>MSSQL서버에대한프로토콜>우클릭>속성>플래그>암호화적용:yes,인증서 선택)

2. 시험 목적
  - iis에서 tls1.2 보안채널만 활성화하여 웹서비스 가능
  - 클라이언트(사용자의 PC)에서 브라우저를 접근할 때 서버는 ssl/tls 보안채널 가운데 tls1.2(ssl 3.2)만 활성화 되어야 보안상 취약하지 않다고 합니다.

3. 오류 내용
  - 보안채널 가운데 tls1.0이 비활성화 되면 구성관리자(SQL 서버 서비스)의 기본 서비스가 시작되지 않음, 수동으로 시작하면 ssl 오류가 발생

4. 오류의 원인
  - MSSQL과 WINDOWS 2008간의 문제로 MSSQL 서비스가 시작되지 않으므로 웹서비스를 할 수 없음

5. 오류 설명
OS는 보안채널을 사용하는데
레지스트리(HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0 ..... TLS 1.2)에 채널 설정이 있습니다.
IIS에 https로 구성한 뒤 보안채널을 tls 1.2 만 사용가능 하게 한 후 OS를 재시작하게 되면 MSSQL의 기본 서비스가 기동이 안되는 현상입니다.

6. 오류 원인 유추
- MSSQL 서버 서비스는 Os 및 IIS의 보안채널을 기본적으로 공유하는 것 같습니다.
- 또한 MSSQL 서버 서비스는 기본적으로 TLS1.0 보안채널만 사용하는 것 같습니다.
- 그리고 TLS1.0 보안채널은 OS의 RDP 서비스와도 연관이 있으므로 TLS1.0을 비활성화(disable)하면 원격서비스가 중지됩니다.

7. 기타 참고
- TLS1.0을 비활성화하면서 MSSQL 서버 서비스를 기동시키는 방법은
 실행>gpedit.msc(로컬그룹정책편집기)>로컬그룹정책>컴퓨터구성>보안설정>로컬정책>보안옵션 선택 후 우측의
"시스템 암호화: 암호화, 해시 및 서명 알고리즘을 포함한 FIPS 140 호환 암호화 알고리즘 사용" 을 활성화

방법이 존재하나 이는 TLS1.0을 기본으로 사용하는 것 같고
또한 활성화하면 asp.net 프로그램에 영향을 주어 web.config를 수정하면서 조절해야하나
웹 기능이 정상적으로 작동하지 않습니다. (또한 사이트를 조사해보니 MS조차도 이를 권장하지 않는다...고 하네요)

환경설정에 도움이 되셨으면 하고
좋은 결과가 있으면 좋겠네요.
[guest]
2015-01-03 08시48분
문제 재현을 했고 제 경우에도 SQL 서버는 TLS 1.0 또는 SSL 3.0을 반드시 활성화시켜야만 정상 서비스가 되었습니다. 대신, IIS 서비스는 TLS 1.2를 강제하면서 SQL 서비스는 1.0으로 잘 동작하는 레지스트리 구성이 있는데... 그런 식으로 우회해야 하지 않을까 싶습니다. 이에 관해서는 다음의 정리된 글을 참고하세요.

System.Data.SqlClient는 SSL 3.0/TLS 1.0만 지원하는 듯!
; http://www.sysnet.pe.kr/2/0/1833

TLS 1.2를 적용한 IIS 웹 사이트 구성
; http://www.sysnet.pe.kr/2/0/1834

SQL 서버 역시 SSL 3.0/TLS 1.0만을 지원하는 듯!
; http://www.sysnet.pe.kr/2/0/1835

임종복 님의 상황이 지금 어떤지는 자세하게 알 수 없으나, "클라이언트(사용자의 PC)에서 브라우저를 접근할 때 서버는 ssl/tls 보안채널 가운데 tls1.2(ssl 3.2)만 활성화 되어야 보안상 취약하지 않다고 합니다."라는 점을 감안했을 때, 제가 제시한 방법이 나쁘진 않을 듯 싶습니다. 어차피 주요 보안 사항이 웹 서버와 브라우저 간이므로.
정성태

... [46]  47  48  49  50  51  52  53  54  55  56  57  58  59  60  ...
NoWriterDateCnt.TitleFile(s)
3695Bere...2/15/201612917호출당한 메서드가 호출한 메서드를 알 수 있는 방법이 일반적인 방법 말고도 있을까요? [2]
3693조영준2/11/201613596UWP 앱을 만들고 있습니다. 죄송하지만 몇 가지 질문 드립니다. [4]
3692후배2/8/201612599html/css/js를 이용한 winForm의 UI표현이 가능 한가요? [3]
3690김대석2/5/201611072문의 드립니다. [2]
3687허재영2/3/201612666web api 보안관련 질문입니다. [2]
3685조진우2/1/201612605메인 응용 프로그램에서 DLL을 실시간으로 접근하여 사용하는데 이것을 모니터링 할 수 있을 까요? [1]
3684나그네1/27/201611953안녕하세요..wcf 관련하여 질문있습니다. [4]파일 다운로드1
3683김태형1/25/201612248 안녕하세요 저작도서를 구매하려는데 한가지 문의 사항이 있어서 질문드립니다. [1]
3681이영균1/8/201614836IE브라우저 추가기능관리의 항목을 사용함으로 c#코드로 변경을 하려고 합니다. [8]
3680후배1/6/201615047추천할만한 소켓 라이브러리 있으신가요? [2]
3679초록물꼬기1/6/201613915Parallel.For 에서 동기화문제에 관한 질문입니다. [11]파일 다운로드1
3678김민우1/3/201612336IHS 오류에 대한 질문입니다. [2]파일 다운로드1
3677초록색우산12/31/201513921HTTP 통신 - WebClient 이용시 한글깨짐 현상 발생 [2]
3676서정열12/31/201512776안녕하세요 WebService SoapExtensionImporter 에 대해서 질문드립니다. [3]
3675차가워12/30/201511829윈폼, 폼인폼 상황에서 하위컨트롤 포커스 문제 [1]
3673Sung...12/24/201512877UWP예외 발생 : 'System.Runtime.InteropServices.COMException'(mscorlib.ni.dll) 해결방법 [2]
3672Sung...12/23/201512128global::System.Diagnostics.Debugger.Break();가 노랗게 표시될시 [2]
3671이상준12/22/201516294한글 키보드 입력에 대해서 질문이 있습니다. [3]
3670Sung...12/18/201513067UWP 주기적으로 신호를 보내고 클라이언트에서 신호가 오면 받는 프로그램을 하려고 합니다. [5]
3669다비드12/18/201511356인터넷 임시파일 삭제 관련 질문. [1]
3668김치사발면12/16/201510808템플릿이 자꾸 초기화? 되버리네요 [1]
3667김치사발면12/15/201510731템플릿 설정 추가 질문 [1]파일 다운로드1
3666노태현12/15/201510139사용자별로 권한을 주고 볼 수 있는 데이터를 제한하려면 어떤 방법으로 접근하는게 좋을까요? [2]
3665김치사발면12/14/201513225C# 템플릿 설정이 이상해요ㅜㅜ [3]파일 다운로드1
3664KuLu12/10/201510526멀정하던 사이트 중 일부메뉴가 응답없음이 되어버립니다. [3]
3663Sung...12/10/201511910UWP 서버 프로그래밍 작업 중 [5]
... [46]  47  48  49  50  51  52  53  54  55  56  57  58  59  60  ...