공간사랑

위에서 생성한 root ca 서명키로 SSL 인증서를 발급해 보자

1. SSL 호스트에서 사용할 RSA  key pair(public, private key) 생성

   2048bit 개인키 생성

   
   

   openssl genrsa -aes256 -out /etc/pki/tls/private/lesstif.com.key 2048

2. Remove Passphrase from key

                   

   개인키를 보호하기 위해 Key-Derived Function 으로 개인키 자체가 암호화되어 있다. 인터넷 뱅킹등에 사용되는 개인용 인증서는 당연히 저렇게 보호되어야 하지만 SSL 에 사용하려는 키가 암호가 걸려있으면 httpd 구동때마다 pass phrase 를 입력해야 하므로 암호를 제거한다.

   개인키 pass phrase 제거

   
   

   cp  /etc/pki/tls/private/lesstif.com.key  /etc/pki/tls/private/lesstif.com.key.enc openssl rsa -in  /etc/pki/tls/private/lesstif.com.key.enc -out  /etc/pki/tls/private/lesstif.com.key

   보안 경고

   Icon

   개인키의 유출 방지를 위해 group 과 other의 permission 을 모두 제거한다.

   chmod 600  /etc/pki/tls/private/lesstif.com.key*

3. CSR(Certificate Signing Request) 생성을 위한 host_openssl.conf 로 저장

   host_openssl.conf

   
   

   [ req ] default_bits            = 2048 default_md              = sha1 default_keyfile         = lesstif-rootca.key distinguished_name      = req_distinguished_name extensions             = v3_user ## 인증서 요청시에도 extension 이 들어가면 authorityKeyIdentifier 를 찾지 못해 에러가 나므로 막아둔다. ## req_extensions = v3_user   [ v3_user ] # Extensions to add to a certificate request basicConstraints = CA:FALSE authorityKeyIdentifier = keyid,issuer subjectKeyIdentifier = hash keyUsage = nonRepudiation, digitalSignature, keyEncipherment ## SSL 용 확장키 필드 extendedKeyUsage = serverAuth,clientAuth subjectAltName          = @alt_names [ alt_names] ## Subject AltName의 DNSName field에 SSL Host 의 도메인 이름을 적어준다. ## 멀티 도메인일 경우 *.lesstif.com 처럼 쓸 수 있다. DNS.1   = www.lesstif.com DNS.2   = lesstif.com DNS.3   = *.lesstif.com   [req_distinguished_name ] countryName                     = Country Name (2 letter code) countryName_default             = KR countryName_min                 = 2 countryName_max                 = 2   # 회사명 입력 organizationName              = Organization Name (eg, company) organizationName_default      = lesstif Inc.   # 부서 입력 organizationalUnitName          = Organizational Unit Name (eg, section) organizationalUnitName_default  = lesstif SSL Project   # SSL 서비스할 domain 명 입력 commonName                      = Common Name (eg, your name or your server's hostname) commonName_default             = lesstif.com commonName_max                  = 64

   SSL 인증서 요청

   
   

   root@lesstif:~:> openssl req -new  -key /etc/pki/tls/private/lesstif.com.key -out /etc/pki/tls/certs/lesstif.com.csr -config host_openssl.conf You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [KR]: Organization Name (eg, company) [lesstif Inc]:lesstif's Self Signed CA Common Name (eg, your name or your servers hostname) [lesstif.com]:*.lesstif.com

4. 5년짜리 lesstif.com 용 SSL 인증서 발급 (서명시 ROOT CA 개인키로 서명)

   
   

   openssl x509 -req -days 1825 -extensions v3_user -in /etc/pki/tls/certs/lesstif.com.csr \ -CA /etc/pki/tls/certs/lesstif-rootca.crt -CAcreateserial \ -CAkey  /etc/pki/tls/private/lesstif-rootca.key \ -out /etc/pki/tls/certs/lesstif.com.crt  -extfile host_openssl.conf

5. 제대로 생성되었는지 확인을 위해 인증서의 정보를 출력해 본다.

   
   

   openssl x509 -text -in /etc/pki/tls/certs/lesstif.com.crt

apache httpd 에 SSL 적용

apache httpd 에 SSL/HTTPS 적용 및 VirtualHost 에 SNI(Server Name Indication) 문제 해결 참고