[보안] Secure Socket Layer(SSL) https 적용하기

https 보안구성은 웹서버와 브라우저 간의 데이터 통신에 안전하게 암호화 되어 통신할 수 있도록 구성할때, 사용된다.

대표적인 예로는 인증 즉 로그인시 계정과 패스워드 보안 이나, 민감한 개인정보 변경시 사용한다.

윈도우 기반 보안 통신 기법은 대표적으로 3가지를 뽑을 수 있다.

SSL(secure socket layer)

: 브라우저와 웹서버의 http채널 보안을 위해 사용, 웹서비스 메시지 보안

IPSec(internet protocol security)

: 컴퓨터 간의 통신 보안에 사용 예>APP 서버와 DB 서버의 연결 보안

RPC(remote procedure call encryption)

: 클라이언트와 서버간의 모든 RPC 패킷을 암호화

SSL의 암호화 방법은 공개키와 개인키를 사용해서 암호화 한다.  공개키는 서버 인증서와 함께 브라우저로 전송되어 결정된다.

그리고 서버 인증서는 웹 사이트를 식별하는 디지털 서명으로 인증기관으로 부터 발급 받을 수 있다.

HTTPS는 80이 아닌 443 포트를 사용하며, 방화벽이 설정되어 있을경우, 포트가 막혀 있을수 있으니, 확인 하는것이 좋다.

SSL은 통신 내용이 암/복호화 되므로, 속도가 아무래도 HTTP에 비해 느리루 있다. 그러므로, 보안이 필요한 페이지(로그인)에만 SSL을 적용하고, 무거운 이미지는 놓지 않는것이 좋다.

서버인증서 발급 순서

1. 서버인증서 요청 생성.

-IIS-디렉터리 보안-서버 인증서 클릭

이후에는 웹서버 인증서 마법사가 나온다. 특별히 변경할 것은 없고, 내용을 디폴트를 누르면,

최종단계에서 c:\certreq.txt 파일 생성된다.

2. 인증요청을 발급 기관으로 전송

이를 인증 서버로 보내서 서버 인증서를 발급 받아야 한다.

실제로 인증기관에서 서버 인증서를 발급 받기 위해서는 등록비를 내야하는데, 테스트 목적이면 테스트용 인증서를 받아 볼수 있다. 포털에서 무료 csr(인증 요청서) 생성 등으로 검색해 보면 구할수 있다.

해당 사이트에 작성된 인증서 내용 c:\sertreq.txt의 내용을 복사해서 붙여넣으면,

전송 버튼을 클릭하면,

thawte라는 무료 인증서 사이트와 연동되고, 기본 정보를 입력하면되지만, 몇몇 기본 정보를 요구하니, 조금의 인내심이 필요합니다. ㅎㅎ

모든 절차를 마치면 이메일로 테스트 인증서를 받을 수 있다.

내용을 복사해서 c:\test.cer로 저장한다.

다시 웹서버 인증서 마법사를 실행하고, 마법사 내용중 대기 중인 요청처리에서 저장한 파일을 불러와서 지정하고 포트는 기본은 443을 유지하면 웹서버 인증서 마법사를 완료 하면 된다.

iis-디렉터리 보안에서 인증서 보기를 클릭하면, 인증서 내용을 볼 수 있다.

그럼 인증서 보기 버튼의 아래의 편집 버튼을 클릭해서 '보안채널 필요'를 체크(128비트 암호화 필요)

하면, 웹사이트는 SSL을 사용해서 HTTP통신을 암호화 하게 된다.

HTTPS://LOCALHOST/ADMIN등 을 지정하면, 보안 경고를 볼수 있으면, 정상적으로 적용이 된것입니다. 클라이언트 브라우저 에 따라 다른 구성이 나타나거나, 안나올수 있으므로, 확인을 바랍니다.

[출처] https 보안 구성하기|작성자 비제이