<BAB8BEC8BCADB9F6B1B8C3E0B0A1C0CCB5E D E687770>

Transcription

1 안내 해설제 호 보안서버구축안내서 한국인터넷진흥원

2

3 KISA 안내 해설제 호 인터넷에서개인정보의유출방지를위한 이용자의보안서버구축안내서

4 제 개정이력 순번 제 개정일 변경내용 발간팀 연락처 월 최초제정 개인정보보호기술팀 월 보안서버목적, 구축방법등개정 개인정보보호기술팀 월 암호화필요한서비스의범위등개정 개인정보보호기술팀

5 주의사항 이안내서는 정보통신망이용촉진및정보보호등에관한법률 등관계법령의규정을토대로, - 개인정보를취급하는사업자가보안서버구축함에있어언제든지쉽게참고할수있는정보를제공하며, - 동정보에대한올바른이해를통하여사업자의개인정보보호조치이행을지원하기위하여발간하였습니다. 이안내서에서안내하고있는제품이나예시등은각사업자에있을수있는고유한환경을고려하지않았으므로실제환경에서그대로적용되지않을수있습니다. - 따라서기준을이행하는데필요한제품이나구축방법을결정하기전에각기업의환경에적합한제품을찾아확인하는절차가필요하며, 담당자의신중한판단이요구됩니다. 이안내서의내용에대하여문의가있거나오류를발견한경우에는홈페이지 ( - 보안서버안내 ) 또는이메일 (taej@kisa.or.kr) 로문의하여주시기바랍니다.

6 안내서의구성 본안내서는사용자들의이해를돕기위하여다음과같이구성되어있습니다. Ⅰ 장과 Ⅱ 장은사용자들이반드시알아야하는기본적인사항들입니다. 꼭읽어보시고각업체의환경에적합한보안서버를선택해야합니다. 보안서버구축방법을선택하였다면, Ⅲ 장 ~ Ⅴ 장중상황에맞는내용을참조하시면됩니다. 각장에소개되는설치방법과오류시대처방법을숙지한후보안서버구축전문업체에연락하시면보다자세한안내를받을수있습니다. Ⅵ 장은보안서버를구축한후, 실제웹페이지에서수정해야할내용에관한안내서입니다. 웹페이지적용방법과실제사례를포함하고있으며, 보안서버가적용되었는지확인하는방법을알아보실수있습니다. Ⅶ 장은방송통신위원회에서추진하고있는보안서버구축확대에관한 FAQ를정리한것입니다. 2005년부터현재까지웹사이트운영자들이자주질문하신내용을정리한것이므로우선궁금하신내용이있는지확인한후추가적인문의는보안서버안내홈페이지 ( 보안서버안내 ) 를참조하거나 taej@kisa.or.kr로연락하시기바랍니다. 부록에는 SSL 가속기에대해서설명이되어있습니다. 목 차 내 용 Ⅰ. 보안서버란 - 보안서버의정의및필요성 - 보안서버관련규정 Ⅱ. 어떻게시작하지? - 보안서버의종류 - 전문구축업체목록및연락처 Ⅲ. SSL 방식보안서버구축하기 - SSL 방식보안서버소개및설치방법 - 오류시대처방법및관리 운영상유의사항 Ⅳ. 응용프로그램방식보안서버구축하기 - 응용프로그램방식소개및설치방법 - 오류시대처방법및개발시점검항목 Ⅴ. 웹호스팅업체의보안서버구축하기 - 웹호스팅서비스이용자와제공업체를위한보안서버구축절차 Ⅵ. 웹페이지수정및적용확인하기 - 웹페이지적용방법및사례 - 보안서버적용확인하는방법 Ⅶ. 보안서버관련 FAQ - 보안서버구축확대관련질문과답변 부록 - SSL 가속기소개

7 보안서버구축안내서 Ⅰ. 보안서버 (Secure Server) 란 1 1. 보안서버의정의 2 2. 보안서버구축의필요성 정보유출방지 (sniffing 방지 ) 위조사이트방지 (phishing 방지 ) 기업의신뢰도향상 5 3. 보안서버관련법률 6 4. 보안서버적용범위 7 Ⅱ. 어떻게시작하지? 9 1. 보안서버의종류 SSL 방식 응용프로그램방식 보안서버구축전문업체 보안서버구축절차흐름도 13 Ⅲ. SSL 방식보안서버구축하기 소개및보안서버구축절차 개요 보안서버구축절차 17

8 보안서버구축안내서 2. 설치과정 IIS 서버에서보안서버구축하기 Apache 서버에서보안서버구축하기 Web2B 서버에서보안서버구축하기 iplanet 서버에서보안서버구축하기 체인인증서및루트인증서설정하기 기타 SSL 인증서소개 멀티도메인 SSL 인증서 와일드카드 (Wildcard) SSL 인증서 오류발생시대처방법 인증서관련 보안되지않은항목의표시 연결관련 웹서버기종변경관련 CSR 생성관련 IP 관련 보안서버구축확인관련 기타 웹사이트운영 관리상의유의사항 인증서유효성의확보 위 변조웹사이트로의심받을가능성 유효하지않는 SSL 인증서사용시보안경고창발생 암호화통신과일반통신의혼용된방식의위험성 SSL ciphersuite 취약성해결방안 86

9 6. Windows Vista에서 Internet Explorer 7 이용시유의사항 보안경고의강화 인증서오류에대한설명강화 인증서프로토콜기본설정변화 국산 SSL 인증서보안경고창해결방법 Windows 98을사용 Windows XP Sevice Pack 1 이하의운영체제를사용 Firefox 등 MS Internet Explorer 외의브라우저를사용 104 Ⅳ. 응용프로그램방식보안서버구축하기 소개및보안서버구축절차 개요 보안서버구축절차 프로토콜설명 설치과정 클라이언트모듈설치 서버모듈설치 사이트접속 오류발생시대처방법 OS 관련 SSL 방식과의비교관련 117

10 보안서버구축안내서 4. 응용프로그램방식의보안서버개발시점검항목 비밀성 암호키관리 식별및인증 자체기능보호 배포및설치 쿠키및파일 120 Ⅴ. 웹호스팅업체의보안서버구축하기 보안서버구축절차 보안서버구축전확인사항체크 보안서버구축지원방식확인 발급도메인에대한정보확인 CSR 생성및보안서버적용 웹호스팅서비스제공업체의고려사항 서비스제공서버에서개별인스턴스로서비스가가능한지여부 SSL 보안포트서비스가능여부 SSL 서비스가능여부 인증서신청하기 보안서버구축상태확인 133

11 Ⅵ. 웹페이지수정및적용확인하기 웹페이지수정방법및사례 전체페이지암호화하기 페이지별암호화하기 프레임별암호화하기 체크박스를이용한선별적암호화하기 보안서버적용확인하기 보안서버적용확인방법 인증서의암호화상태확인방법 보안서버의보안취약성해결방안 보안서버의알려진취약성확인방법 보안서버의알려진취약성해결방법 161 Ⅶ. 보안서버관련 FAQ 제도관련 구축범위관련 호스팅관련 적용관련 기타 170 부록. SSL 가속기소개 172

12 보안서버구축안내서 그림목차 < 그림 1-1> 보안서버구축의필요성 4 < 그림 1-2> SSL 방식보안서버에서암호화통신이적용된비율 7 < 그림 2-1> SSL 방식의보안서버실행확인 10 < 그림 2-2> 응용프로그램방식의보안서버실행확인 11 < 그림 2-3> 보안서버구축절차흐름도 13 < 그림 3-1> SSL 방식의보안서버개념도 16 < 그림 3-2> SSL 방식보안서버구축절차 17 < 그림 3-3> mod_ssl 설치확인예 28 < 그림 3-4> 브라우저경고창발생예시 50 < 그림 3-5> 인증서의인증경로 51 < 그림 3-6> 멀티도메인 SSL 인증서의 CN이있는도메인과없는도메인의동작 66 < 그림 3-7> 암호화통신이이루어지고있음을보여주는자물쇠이미지 66 < 그림 3-8> 다수의 CN이포함된멀티도메인 SSL 인증서 67 < 그림 3-9> 보안이적용된웹페이지속성확인 67 < 그림 3-10> Apache 서버에서평문통신을위한가상호스팅설정 68 < 그림 3-11> Apache 서버에서암호화통신을위한가상호스팅설정 69 < 그림 3-12> CMD command 실행모습 70 < 그림 3-13> IIS 관리자에서 Site Identifier와 Host header 값확인 70 < 그림 3-14> SecureBindings 메타베이스추가 71 < 그림 3-15> SecureBindings을통한 443 포트공유 71 < 그림 3-16> SecureBindings 제거 72 < 그림 3-17> 보안경고창과보안경고페이지예 83 < 그림 3-18> ARP 스프핑을이용한 MITM 공격 84 < 그림 3-19> ARP 스프핑과데이터변조를통한 MITM 공격 85 < 그림 3-20> 익스플로러의 Ciphersuite 수정 86

13 < 그림 3-21> 파이어폭스의 Ciphersuite 수정 87 < 그림 3-22> Ciphersuite 키길이에대한보안경고 87 < 그림 3-23> 인증서오류로인한보안경고페이지예 89 < 그림 3-24> 보안상태표시줄이빨간색으로표시되는예 90 < 그림 3-25> 인증서오류정보확인방법 91 < 그림 3-26> 인증서오류원인확인방법 93 < 그림 3-27> IE 7의인증서프로토콜기본설정 94 < 그림 4-1> 응용프로그램방식보안서버구축절차 109 < 그림 4-2> 서버플랫폼의구성 110 < 그림 4-3> 응용프로그램방식프로토콜 112 < 그림 4-4> 암호화모듈설치를위한보안경고창 114 < 그림 4-5> 암호화모듈설치 115 < 그림 4-6> 암호화통신확인 116 < 그림 4-7> 쿠키의알려진저장위치 120 < 그림 4-8> 가로챈쿠키의개인정보노출 121 < 그림 5-1> 웹호스팅업체의보안서버구축절차 127 < 그림 5-2> WHOIS를통한도메인정보확인 129 < 그림 5-3> mod_ssl 설치확인화면 132 < 그림 6-1> 평문통신을위한 HTML 소스코드 136 < 그림 6-2> https 프로토콜을호출하기위한 HTML 소스코드 137 < 그림 6-3> Apache 서버에서의 Redirection 138 < 그림 6-4> HTML Tag를이용한 Redirection 138 < 그림 6-5> Javascript를이용한 Redirection 139 < 그림 6-6> 페이지별암호화대상메뉴 139 < 그림 6-7> 페이지별암호화대상메뉴의소스코드 140 < 그림 6-8> SSL이적용된페이지의경고창 140

14 보안서버구축안내서 그림목차 < 그림 6-9> http 평문통신주소가호출되는웹페이지의속성 141 < 그림 6-10> https를통한암호화통신 141 < 그림 6-11> http를통한평문통신 141 < 그림 6-12> 프레임이포함된웹페이지 143 < 그림 6-13> topmenu.htm을 https로호출하기 144 < 그림 6-14> topmenu.htm과 main.htm을 https로호출하기 144 < 그림 6-15> 비암호화된페이지호출하기 145 < 그림 6-16> HTTP 호출시 80 포트모니터링결과 145 < 그림 6-17> topmenu.htm만암호화하여호출하기 146 < 그림 6-18> topmenu.htm의내용만암호화된모니터링결과 146 < 그림 6-19> topmenu.htm과 main.htm을 https로호출하기 147 < 그림 6-20> index.html의내용만모니터링된결과 147 < 그림 6-21> https를이용한호출 148 < 그림 6-22> https 호출시 80 포트모니터링결과 148 < 그림 6-23> 로그인시보안접속체크박스를이용하기위한 HTML 소스코드 150 < 그림 6-24> 평문통신패킷확인결과 152 < 그림 6-25> 암호화된통신패킷확인결과 153 < 그림 6-26> 암호화통신이이루어지고있음을보여주는자물쇠이미지 153 < 그림 6-27> 보안이적용된웹페이지등록정보 154 < 그림 6-28> 보안이적용된웹페이지접속 155 < 그림 6-29> 자물쇠이미지를통한암호화방식확인 155 < 그림 6-30> 보안이적용된웹페이지의등록정보중인증서버튼 156 < 그림 6-31> 보안이적용된웹페이지의인증서기본정보확인 157 < 그림 6-32> 보안이적용된웹페이지의인증서상세정보확인 158 < 그림 C-1> SSL 가속기구성방식 174

15 Ⅰ. 보안서버 (Secure Server) 란 1. 보안서버의정의 2. 보안서버구축의필요성 3. 보안서버관련법률 4. 보안서버적용범위

16 보안서버구축안내서 제 1 장보안서버 (Secure Server) 란 Ⅰ. 보안서버 (Secure Server) 란 1. 보안서버의정의 보안서버란인터넷상에서개인정보를암호화하여송수신하는기능이구축된웹사이트를의미한다. 보안서버는독립적인하드웨어를따로설치하는것이아니라이미사용하고있는웹서버에 SSL(Secure Sockets Layer) 인증서나암호화소프트웨어를설치하여암호통신을지운하는것을의미한다. SSL 인증서의경우해당전자상거래업체의실존을증명하는과정을거쳐발급되기때문에웹사이트에대한인증기능도일부가지고있습니다. 인터넷상에서송수신되는개인정보의대표적인예로는로그인시 ID, 패스워드, 회원가입시이름, 전화번호, 인터넷뱅킹이용시계좌번호, 계좌패스워드등이있다. 암호화되지않은개인정보는해킹을통해유출될경우심각한피해를초래할수있다. 보안서버는이러한위협을방지하기위한방법의하나로, 개인정보를암호화하여송수신함으로써유출을막는다. 그러나보안서버의구축및운영방법은업체에따라많은차이점이있으며, 잘못된보안서버의구축및운영은개인정보의유출을초래할수있다. 인터넷상에서암호화되지않은개인정보는가로채기등의해킹을통해해커에게쉽게노출될수있으나, 웹서버에보안서버솔루션을설치하면해커가중간에데이터를가로채도암호화되어있어개인정보가노출되지않게된다. 2 보안서버구축안내서

17 목차 2. 보안서버구축의필요성 인터넷은개방된시스템입니다. 인터넷상에서송수신되는이용자, 사업자및컴퓨터의신원정보 (Identity) 를확인하는것은어렵지않습니다. 더욱이송수신경로가본질적으로안전하지않습니다. 모든송수신은도청자가송수신자간전달되는메시지를중간에가로채어수정할수있는위험에노출되어있습니다. 인터넷통신은종종전통적인우편시스템에서우편엽서의사용과비유되곤합니다. 만일공격자가적시에적절한장소에있다면, 공격자는 - 당신의우편엽서를읽고, 당신의대화에훔칠수있으며, - 당신의우편엽서를수정하고, 당신의대화를뒤엎을수있으며, - 당신또는대화대상자에게우편엽서를송부하여, 양당사자를흉내낼수있습니다. 비록그러한위협은일반적으로드물고수행하기어렵지만, 인터넷에서전송되는정보의가치및민감정도는잠재적이득을원하는자에게동기를부여할수있다. 실제로인터넷패킷을캡쳐하는프로그램을이용하면내가속한네트워크를지나가는대부분의패킷내용을쉽게열어볼수있습니다. 이러한문제점을해결하기위한보안서버는네트워크응용프로그램간의통신에대하여프라이버시, 인증, 신뢰를보장해주는것을목표로하고있습니다. 이를위한 SSL 프로토콜은어떤 TCP/IP 기반의통신에도유용하게적용될수있으나, HTTP( 웹사이트트래픽 ) 를보호하는데특히많이사용되고있습니다. SSL 기반의통신은개인적으로이루어집니다. 암호화는도청자에대하여통신을안전하게보호해줍니다. 그리고통신하는양자가신뢰기반의구조를공유하여인증이될수있습니다. 보안서버는네트워크통신에서다음의장점을제공한다. 보안서버구축안내서 3

18 보안서버구축안내서 2.1 정보유출방지 (sniffing 방지 ) 사용자가웹사이트에접속해서로그인또는전자상거래를위해 ID, 패스워드, 신용카드번호등의각종중요한개인정보를입력하여해당사이트로정보를전송하게됩니다. 이때악의적인해커들이설치한정보유출프로그램에의해사용자의 ID와패스워드등의중요한개인정보를도청하는것이스니핑입니다. 일반적인웹사이트에로그인할때아이디와비밀번호가평문형태로전송된다. 이를다른사람이중간에서훔쳐볼수있는스니핑툴 (sniffing tool) 은인터넷에서손쉽게구할수있습니다. 학교, PC방, 회사등의공용네트워크에서는스니핑툴을이용하여타인의개인정보를쉽게수집할수있다. 그러나웹사이트에보안서버가구축된경우에는개인정보가암호화되어전송되므로이러한노출위협으로부터안심할수있습니다. 따라서보안서버는개인정보보호를위한필수적이며기본적인수단이다. 2.2 위조사이트방지 (phishing 방지 ) < 그림 1-1> 보안서버구축의필요성 피싱 (Phishing) 이란개인정보 (private data) 와낚시 (fishing) 를합성한조어입니다. 이는인터넷이용자에게이메일이나링크를전송하여금융기관이나합법적인기관으로가장한허위웹사이트로접속하게한후, 이용자가입력한비밀번호나개인정보를추출하여금융사기등으로악용하는사기기법입니다. 현재피싱수법이점점교묘해져가고피해자가속출하고있는상황으로사용자가개인정보를입력시해당페이지가신뢰할수있는인증서가설치되어있는지확인하는등의사용자의주의가필요합니다. 4 보안서버구축안내서

19 목차 보안서버를구축하기위해서는 SSL인증서를공인인증기관으로부터발급받아야합니다. 발급받기위해서는도메인정보등을제공해야하며, 발급받은인증서에는도메인정보가포함되어있습니다. 평상시접속하는웹페이지에서자물쇠이미지를확인하거나개인정보입력시암호화호출 ( 암호화모듈로딩화면등을확인하였다면유사하게구성된피싱사이트를쉽게구별할수있습니다. 따라서해커등의제3자가유사사이트를만들어피싱을시도하더라도 SSL 인증서가진짜사이트임을증명하므로피싱으로인한피해를줄일수있습니다. 2.3 기업의신뢰도향상 사회에대해서도깊은관심과책임감을가져야한다는사회책임경영의중요성이나날이커져나가고있습니다. 사회책임경영은기업의사회적책임감을의미하는것으로기업의존재기반인사회에대해서도깊은관심과책임감을가져야한다는기업경영의화두입니다. 이에대한관심이점차높아지고있으며, 많은기업들이이미적극적으로사회책임경영에입각한경영을펼치고있습니다. 보안서버의설치는고객에게개인정보를안전하게관리하는사회책임경영을하는기업이라는이미지를부각시킬수있습니다. 웹사이트상보안서버인증마크는개인정보보호의신뢰성을사용자에게보여줄수있으며, 가시적인홍보효과또한얻을수있습니다. 보안서버구축안내서 5

20 보안서버구축안내서 3. 보안서버관련법률 1. 정보통신망이용촉진및정보보호등에관한법률 제 28 조 ( 개인정보의보호조치 ) 1 정보통신서비스제공자등이개인정보를취급할때에는개인정보의분실 도난 누출 변조또는훼손을방지하기위하여대통령령으로정하는기준에따라다음각호의기술적 관리적조치를하여야한다. 4. 개인정보를안전하게저장 전송할수있는암호화기술등을이용한보안조치 제 64 조의 3 ( 과징금의부과등 ) 1 방송통신위원회는다음각호의어느하나에해당하는행위가있는경우에는해당전기통신사업자에게위반행위와관련한매출액의 100 분의 1 이하에해당하는금액을과징금으로부과할수있다. 다만, 제 6 호에해당하는행위가있는경우에는 1 억원이하의과징금을부과할수있다. 6. 제 28 조제 1 항제 2 호부터제 5 호까지의조치를하지아니하여이용자의개인정보를분실ㆍ도난ㆍ누출ㆍ변조또는훼손한경우 제 73 조 ( 벌칙 ) 다음각호의어느하나에해당하는자는 2 년이하의징역또는 1 천만원이하의벌금에처한다. 1. 제 28 조제 1 항제 2 호부터제 5 호까지 ( 제 67 조에따라준용되는경우를포함한다 ) 의규정에따른기술적 관리적조치를하지아니하여이용자의개인정보를분실 도난 누출 변조또는훼손한자 2. 정보통신망이용촉진및정보보호등에관한법률시행령 제 15 조 ( 개인정보의보호조치 ) 4 법제 28 조제 1 항제 4 호에따라정보통신서비스제공자등은개인정보가안전하게저장 전송될수있도록다음각호의보안조치를하여야한다. 3. 정보통신망을통하여이용자의개인정보및인증정보를송신 수신하는경우보안서버구축등의조치 3. 개인정보의기술적 관리적보호조치기준 제 5 조 ( 개인정보의암호화 ) 2 정보통신서비스제공자등은정보통신망을통해이용자의개인정보및인증정보를송 수신할때에는보안서버구축등의조치를통해이를암호화해야한다. 보안서버는다음각호의어느하나의기능을갖추어야한다. < 개정 > 1. 웹서버에 SSL(Secure Socket Layer) 인증서를설치하여개인정보를암호화하여송 수신하는기능 2. 웹서버에암호화응용프로그램을설치하여개인정보를암호화하여송 수신하는기능 6 보안서버구축안내서

21 목차 4. 보안서버적용범위 일반적으로 개인정보 라함은생존하는개인에관한정보로서성명, 주민등록번호등에의하여당해개인을알아볼수있는부호 문자 음성 음향및영상등의정보를말합니다. 인터넷에서사용되는대표적인개인정보의예로는로그인시 ID, Password, 회원가입시주민등록번호, 인터넷뱅킹시계좌번호, 계좌 Password 등이해당됩니다. 또게시판등에서사용하는성명, 이메일, 연락처등도개인을식별할수있는정보로서개인정보에해당합니다. 이러한개인정보를안전하게관리하기위해서는해당개인정보를포함하고있는웹페이지에대해암호화통신을적용해야합니다. 아래그림은 SSL 방식보안서버에서암호화통신이적용된비율을나타냅니다. 97% 84% 42% 46% 46% 48% 22% 19% 로그인회원가입분실 ID 찾기분실 PW 찾기회원정보수정신원확인이벤트응모게시판작성 < 그림 1-2> SSL 방식보안서버에서암호화통신이적용된비율 위비율은한국인터넷진흥원에서보안서버를사용하는국내웹사이트를대상으로조사를한내용입니다. 결과를살펴보면로그인과정과신원확인과정의보안서버적용비율이높은데비해회원가입, 분실ID찾기, 회원정보수정등의경우보안서버적용비율이낮음을확인할수있습니다. 이처럼보안서버를구축하고있어도암호화통신을하지않으면개인정보유출될수있습니다. 그러므로웹사이트에서제공하는서비스중개인정보를포함하고있는서비스에대해서는보안서버의적용이반드시이루어져야합니다. 보안서버구축안내서 7

22

23 Ⅱ. 어떻게시작하지? 1. 보안서버의종류 2. 보안서버구축전문업체 3. 보안서버구축절차흐름도

24 보안서버구축안내서 Ⅱ. 어떻게시작하지? 1. 보안서버의종류 보안서버는구축방식에따라크게 SSL 방식 과 응용프로그램방식 2가지로구분할수있습니다. 보안서버를구별하는방법은아래와같습니다. 1.1 SSL 방식 SSL 인증서 를이용한보안서버는사용자컴퓨터에별도의보안프로그램설치가필요없으며, 웹서버에설치된 SSL 인증서 를통해개인정보를암호화하여전송합니다. 보안서버구축에소요되는비용이상대적으로저렴하지만주기적으로인증서갱신을위한비용이소요됩니다. 로그인페이지등보안이필요한웹페이지에접속한상태에서브라우저하단상태표시줄에자물쇠모양의마크로확인할수있으며, 웹사이트의구성방법에따라자물쇠모양의마크가보이지않을수있습니다. 그림 2-1 SSL 방식의보안서버실행확인 10 보안서버구축안내서

25 Ⅱ. 어떻게시작하지? 1.2 응용프로그램방식 암호화응용프로그램을이용한보안서버는웹서버에접속하면사용자컴퓨터에자동으로보안프로그램이설치되고이를통해개인정보를암호화하여전송합니다. 웹사이트접속시초기화면이나로그인후윈도우화면오른쪽하단작업표시줄알림영역에다음그림과같은암호화프로그램실행여부를확인할수있으며, 응용프로그램방식의솔루션에따라모양은다르게나타날수있습니다. 그림 2-2 응용프로그램방식의보안서버실행확인 보안서버구축안내서 11

26 보안서버구축안내서 2. 보안서버구축전문업체 보안서버구축방법과절차에관한보다구체적인내용은다음의 보안서버전문협의회 회원사중선택하여문의하면자세한설명을받을수있습니다. 보안서버전문협의회 에소속되지않은전문업체를이용하셔도무방합니다. ( 의장사, 간사외회원사가나다순 ) 회사명 홈페이지 연락처 SSL 방식솔루션공급업체 한국전자인증 ( 주 ) 한국정보인증 ( 주 ) 나인포유 ( 주 ) ( 주 ) 닷네임코리아 ( 주 ) 아이네임즈 ( 주 ) 온오프비즈컨설츠 ( 주 ) 이모션 ( 주 ) 한국무역정보통신 ( 주 ) 한비로 cert.inames.co.kr (02) (02) (02) (02) (02) (02) 응용프로그램방식솔루션공급업체한국전자인증 ( 주 ) 한국정보인증 ( 주 ) ( 주 ) 온오프비즈컨설츠 이니텍 ( 주 ) 드림시큐리티 소프트포럼 엠큐릭스 ( 주 ) 유넷시스템 ( 주 ) ( 주 ) 케이사인 ( 주 ) 코스콤 펜타시큐리티시스템 ( 주 ) (02) (02) (02) (02) (02) (02) (02) (02) (02) (02) 보안서버구축안내서

27 Ⅱ. 어떻게시작하지? 3. 보안서버구축절차흐름도 지금까지보안서버의개념과종류등보안서버를구축하기전에필요한사항들을간단하게알아보았습니다. 이제부터는본격적으로보안서버구축방법에대하여알아보겠습니다. 현재기업의상황을확인하시고아래절차흐름도를참고하여자신에게필요한내용을찾아각장으로이동하시면됩니다. 서버의운영은어떻게하고계신가요? 단독서버운영 보안서버종류와전문업체를결정하셨나요? 웹호스팅서비스이용 Ⅲ. SSL 방식보안서버구축하기 Ⅳ. 응용프로그램방식보안서버구축하기 Ⅴ. 웹호스팅업체의보안서버구축하기 웹서버기종확인 구축절차확인 구축절차및구축전확인사항체크 IIS 서버에서의설치과정 Apache 서버에서의설치과정등 보안서버설치및구축완료 웹호스팅서비스제공업체와의협의및보안서버설치 오류시대처방법 오류시대처방법 보안서버구축확인 Ⅵ. 웹페이지수정및적용확인하기 그림 2-3 보안서버구축절차흐름도 보안서버구축안내서 13

28

29 Ⅲ. SSL 방식보안서버구축하기 1. 소개및보안서버구축절차 2. 설치과정 3. 기타 SSL 인증서소개 4. 오류발생시대처방법 5. 웹사이트운영 관리상의유의사항 6. Windows Vista에서 Internet Explorer 7 이용시유의사항 7. 국산 SSL 인증서보안경고창해결방법

30 보안서버구축안내서 Ⅲ. SSL 방식보안서버구축하기 1. 소개및보안서버구축절차 1.1 개요 SSL은 Secure Sockets Layer의약자이며, 1994년 Netscape에의해개발되어현재전세계적인표준보안기술이되었습니다. SSL 방식은웹브라우저와서버간의통신에서정보를암호화함으로써도중에해킹을통해정보가유출되더라도정보의내용을보호할수있는기능을갖춘보안솔루션으로전세계적으로수백만개의웹사이트에서사용하고있습니다. 아래는 SSL 보안에대해그림으로간단하게설명해놓은것입니다. 그림 3-1 SSL 방식의보안서버개념도 인증기관 (Certification Authorities) 에서제공하는 SSL 인증서를발급받아웹서버에설치하게되면웹사이트이용자들의거래, ID/ 패스워드, 개인정보등을암호화하여송수신할수있습니다. 16 보안서버구축안내서

31 Ⅲ. SSL 방식보안서버구축하기 1.2 보안서버구축절차 SSL 방식의보안서버구축절차는다음과같습니다. 서버의종류확인 IIS / Apache / Web2B / iplanet 등 2.1 IIS 서버에서보안서버구축하기 2.2 Apache 서버에서보안서버구축하기 개인키생성및 CSR 1) 생성 개인키생성및 CSR 생성 SSL 인증서발급 인증기관에 CSR 제출및인증서발급신청 신청자상세정보입력및결제 IIS 서버에설치및 SSL 설정 Apache 서버에설치및 SSL 설정 2.5 체인인증서설정 ( 국산인증서설치시참조 ) 3. 오류발생시대처방법 그림 3-2 SSL 방식보안서버구축절차 1) Certificate Signing Request 의약자로써 SSL 서버를운영하는업체의정보를암호화하여인증기관으로송부하는인증서신청서 보안서버구축안내서 17

32 보안서버구축안내서 1 SSL 방식의보안서버를사용하기위해서는운영하고있는웹서버에보안서버인증서가설치되어야합니다. 보안서버인증서는운영중인웹서버에서 ' 인증서만들기 ' 를이용하여생성합니다. 발급이완료된인증서는재발급또는변경이불가능하기때문에새로발급받으셔야하며, 새로발급받을시비용이발생할수있으니 CSR 생성시절대주의바랍니다. 2 먼저운영하는웹서버에서개인키를만든후, CSR 파일을생성하여인증기관에보안서버인증서발급을신청합니다. CSR(Certificate Signing Request) 에는운영하는 URL 및운영하는회사의정보등이입력됩니다. 3 인증기관에 CSR을이용하여인증서를신청할때회사의담당자정보등을입력합니다. 인증서발급심사후에신청시입력한담당자의 주소로인증서가발급됩니다. 4 발급받은인증서를운영중인웹서버에설치하게되면 SSL 방식의보안서버설정을완료하게됩니다. SSL 인증서가설치된후관리 운영시인증서의유효성에따라보안경고창이발생할수있으니 4. 웹사이트운영 관리상의유의사항 을확인하시기바랍니다. 서버호스팅서비스를받고있는고객의경우에는서버에대한관리자권한이고객에게있기때문에고객이직접 CSR 생성및인증서발행후에설치를진행해야하며, 호스팅서비스제공업체에게보안서버구축대행을요청하게되면설치대행비가부과될수있습니다. SSL 방식의보안서버구축은서버의운영체제에따라적용절차가모두다르므로업체의서버종류를파악한후, 각서버의설치과정을참고하시기바랍니다. 본가이드에서는 IIS, Apache, Web2B, iplanet 서버에서 SSL 인증서를이용하여보안서버를구축하는방법을소개하고있으며, 향후다른종류의서버에 SSL 방식의보안서버를설치하는방법을지속적으로추가해나갈예정입니다. 18 보안서버구축안내서

33 Ⅲ. SSL 방식보안서버구축하기 2. 설치과정 2.1 IIS 서버에서보안서버구축하기가. 개인키생성및 CSR 생성방법 1 웹사이트속성메뉴를선택합니다. 시작 프로그램 관리도구 인터넷서비스관리자 웹사이트 속성 2 등록정보화면에서디렉토리보안을클릭한후서버인증서를클릭합니다. 보안서버구축안내서 19

34 보안서버구축안내서 3 웹서버인증서마법사를시작합니다. 새인증서를만듭니다 를선택합니다. 4 요청을준비하지만나중에보냅니다 를선택합니다. 20 보안서버구축안내서

35 Ⅲ. SSL 방식보안서버구축하기 5 인증서를만들이름을입력하시기바랍니다. 이름은인증서의별칭이므로쉬운것으로입력하여주시기바랍니다. 인증서키의길이는 1,024비트가일반적입니다. 비트길이가너무크면서버에서인지하지못하는경우도있습니다. 6 조직및조직구성단위를입력합니다. 조직은회사의영문전체이름을입력하고, 조직구성단위는영문부서명을입력합니다. ( 모든내용은영문으로입력합니다 ) 보안서버구축안내서 21

36 보안서버구축안내서 7 인증받을도메인이름을입력하시기바랍니다. 8 지역정보를입력합니다.( 모든내용은영문으로입력합니다.) 22 보안서버구축안내서

37 Ⅲ. SSL 방식보안서버구축하기 9 인증서요청파일 (CSR) 을저장합니다. 10 신청한내용을다시한번확인합니다. 보안서버구축안내서 23

38 보안서버구축안내서 11 인증서신청을완료합니다. 12 CSR 내용을인증기관에게메일로송부하시던지인증서신청화면에붙여넣으신후인증서신청을진행하시면됩니다. 자, 이제인증기관의발급절차에따라서인증서가발급됩니다. 나. SSL 설정 1 웹사이트속성메뉴를선택합니다. 시작 프로그램 관리도구 인터넷서비스관리자 웹사이트 속성 24 보안서버구축안내서

39 Ⅲ. SSL 방식보안서버구축하기 2 등록정보화면에서디렉토리보안을클릭한후서버인증서를클릭합니다. 3 보류중인요청을처리합니다. 보안서버구축안내서 25

40 보안서버구축안내서 4 보류중인요청처리-메일을통하여받은인증서 (-----begin 부터 end----- 까지 ) 를저장한파일을선택합니다. 인증서파일을선택한후다음버튼을누릅니다. 5 인증서요약 - 현재설치하시고자하는인증서의내용이보여집니다. 만약에신청하신내용과일치하지않으면경고메시지가뜨며, 인증서가설치되지않습니다. 그럴경우에는현재의요청을삭제하신후, 새로운인증서를신청하셔야합니다. 26 보안서버구축안내서

41 Ⅲ. SSL 방식보안서버구축하기 6 인증서설치후의설정 - 기본웹사이트의등록정보에서웹사이트탭을선택합니다. 웹사이트확인섹션에서고급버튼을클릭해서 SSL 포트에 443을설정해줍니다. ( 기본적으로 443을사용하지만, 사이트운영자가 1~65535 범위내에서임의로포트번호를설정할수있습니다 ) 7 인증서설치확인 - 인증서가정확히설치되었는지인증서가설치된홈페이지를통해확인할수있습니다. 인증서신청 URL에접속해서하단에노란자물쇠버튼이뜨는지확인합니다. 만일 443이아닌다른포트로 SSL 포트를적용하였을경우에는주소창뒤에포트번호를지정해야확인할수있습니다. ( 예 : 보안서버구축안내서 27

42 보안서버구축안내서 8 이제 SSL 인증서의설치가완료되었습니다. 다음에는웹페이지를수정해야하며, 수정방법은 Ⅵ장에있습니다. 2.2 Apache 서버에서보안서버구축하기가. Apache 서버에 OpenSSL과 mod_ssl의설치방법 Apache 서버에서 SSL 통신을가능하게하기위해서는 OpenSSL과 mod_ssl이필요합니다. 우선, 현재서비스중인 Apache 서버에 mod_ssl이설치되어있는지를 httpd -l 옵션을사용하여 mod_ssl.c 또는 mod_ssl.so가있는지확인하시기바랍니다. 만일설치되어있다면 Apache 서버의버전에맞는개인키생성및 CSR 생성방법과정으로이동하시기바랍니다. 그림 3-3 mod_ssl 설치확인예 OpenSSL은 Apache 버전과 mod_ssl의버전을확인한후에알맞은 OpenSSL을설치해야합니다. 예를들어 Apache 버전에는 mod_ssl ( 또는 2.1.7) 을설치해야하고, mod_ssl 2.1.6은 OpenSSL 0.8.1b와 0.9.1c 버전사이에서만동작합니다. 버전을확인하지않고 OpenSSL과 mod_ssl을설치하면 Apache 컴파일과정에서오류가발생합니다. mod_ssl은반드시 Apache 버전에맞는것을설치하셔야하며 Apache 버전을확인한후그에맞는 mod_ssl을다운받아설치하시기바랍니다. 28 보안서버구축안내서

43 Ⅲ. SSL 방식보안서버구축하기 mod_ssl에서지원하는 apache 버전및 OpenSSL의버전은 mod_ssl 소스의 README.Versions에서확인할수있으며, 1 OpenSSL의설치 ( 압축풀기 $ gzip -cd openssl tar.gz tar xvf - $./config$ make$ make installconfig prefix를주지않았을때에는 /usr/local/ssl 디렉토리에설치가됩니다. 다른디렉토리에설치를하고자한다면다음과같이설치합니다. $./config --prefix=/usr/local --openssldir=/usr/local/openssl OpenSSL의실행파일은 /usr/local/ssl/bin에설치되고인증서비스를위한파일들은 /usr/local/openssl 아래의디렉토리에생성됩니다. 2 mod_ssl의설치 ( 압축풀기 $ gzip -cd apache_ tar.gz tar xvf $ gzip -cd mod_ssl tar.gz tar xvf 파일의다운로드와압축풀기가끝나면 mod_ssl 설정을합니다. mod_ssl 설정 $ cd mod_ssl $./configure \ --with-apache=../apache_ \ --with-ssl=../openssl \ --prefix=/usr/local/apache 보안서버구축안내서 29

44 보안서버구축안내서 3 Apache 서버설치 ( $ cd../apache_1.3.x $ SSL_BASE=../openssl \./configure \ --prefix=/usr/local/apache \ --enable-module=ssl \ $ make $ make certificate $ make install 나. Apache 1.3.X 버전에서보안서버구축하기 (1) 개인키생성및 CSR 생성방법 1 랜덤넘버생성 $ openssl md5 * > rand.dat 2 키쌍생성 $ openssl genrsa -rand rand.dat -des3 -out 1024 > key.pem 개인키비밀번호를입력하며반드시기억해야합니다. ( 암호를분실할경우 SSL 사용을위한 apache를구동할수없습니다 ) 3 생성된키쌍을이용하여 CSR 생성 $ openssl req -new -key key.pem > csr.pem 여기서 key.pem은단계 2에서생성한키이름이며 csr.pem은출력 CSR 파일의이름입니다. 30 보안서버구축안내서

45 Ⅲ. SSL 방식보안서버구축하기 다음정보를입력하라는메시지가나타납니다. ( 모든내용은영문으로작성해야하며, 아래는입력예입니다 ) Country( 국가코드 ) : KR State/province ( 시 / 도의전체이름 ) : Seoul Locality( 시, 구, 군등의이름 ) : Songpa-gu Organization( 회사이름 ) : Korea Information Security Agency Organization Unit( 부서명 ) : Policy Development Division Common Name (host name + domain name) : 추가속성 을입력하라는메시지가나타나면그냥넘어가셔도무방합니다. 4 CSR 제출생성된 CSR( 예 :csr.pem) 의내용은다음과같습니다 BEGIN CERTIFICATE REQUEST----- MIIBETCBvAIBADBXMQswCQYDVQQGEwJBVTETMBEGA1UECBMKU29tZS1TdGF0ZTEh MB8GA1UEChMYSW50ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMRAwDgYJKoZIhvcNAQkB FgFgMFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAL6nPTy3avNgbubx+ESmD4LV1LQG... AaAAMA0GCSqGSIb3DQEBBAUAA0EAXcMsa8eXgbG2ZhVyFkRVrI4vT8haN39/QJc9 BrRh2nOTKgfMcT9h+1Xx0wNRQ9/SIGV1y3+3abNiJmJBWnJ8Bg== -----END CERTIFICATE REQUEST----- CSR 내용을인증기관에게메일로송부하거나인증서신청화면에붙여넣으신후인증서신청을진행하시면됩니다. 인증기관의발급절차에따라서인증서가발급됩니다. 보안서버구축안내서 31

46 보안서버구축안내서 (2) 인증서설치방법 1 메일로받은인증서를복사하여파일로저장합니다.( 예 : Cert.pem) -----BEGIN CERTIFICATE----- MIIBETCBvAIBADBXMQswCQYDVQQGEwJBVTETMBEGA1UECBMKU29tZS1TdGF0ZT EhMB8GA1UEChMYSW50ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMRAwDgYJKoZIhvcNAQ kbfgfgmfwwdqyjkozihvcnaqebbqadswawsajbal6npty3avngbubx+esmd4lv... AAaAAMA0GCSqGSIb3DQEBBAUAA0EAXcMsa8eXgbG2ZhVyFkRVrI4vT8haN39/QJc 9BrRh2nOTKgfMcT9h+1Xx0wNRQ9/SIGV1y3+3abNiJmJBWnJ8Bg== -----END CERTIFICATE Apache 서버의적절한위치에저장합니다. 3 환경설정파일 (httpd.conf 또는 ssl.conf) 을수정합니다. 다음은설정예입니다. <VirtualHost _default_:443> # General setup for the virtual host DocumentRoot /Apache/htdocs ServerName ServerAdmin admin@kisa.or.kr ErrorLog logs/error_log TransferLog logs/access_log SSLCertificateFile /Apache/ssl/cert.pem 인증서파일경로 SSLCertificateKeyFile /Apache/ssl/key.pem 개인키파일경로 4 Apache 서버를재구동합니다../apachectl startssl 32 보안서버구축안내서

47 Ⅲ. SSL 방식보안서버구축하기 Apache 서버에서 SSL을사용하기위한시작명령어인 startssl을실행하면개인키의비밀번호를묻는데, 이비밀번호는이전의설치과정 개인키생성및 CSR 생성방법 중 2 키쌍생성시입력한개인키비밀번호를입력하시면됩니다. 5 이제 SSL 인증서의설치가완료되었습니다. Ⅵ장으로이동하셔서실제웹페이지를어떻게수정해야하는지알아보겠습니다. 다. Apache 2.X 버전에서보안서버구축하기 (1) 개인키생성및 CSR 생성방법 1 랜덤넘버생성개인키생성시사용할랜덤정보를생성합니다. 생성된 rand.dat 파일이중요하지않다고판단될때, 언제든지이파일을삭제, 변경할수있습니다. $ openssl sha1 * > rand.dat 또는 $ cat file1 file2 file3 > rand.dat 2 키쌍생성 $ openssl genrsa rand rand.dat -des 1024 > key.pem 개인키비밀번호를입력하며반드시기억해야합니다. ( 암호를분실할경우 SSL 사용을위한 apache를구동할수없습니다 ) 개인키를분실하신경우, 백업된개인키를사용해야하므로, 생성한개인키의백업복사본은별도의저장매체에보관하여주시기바랍니다. 보안서버구축안내서 33

48 보안서버구축안내서 3 생성된키쌍을이용하여 CSR 생성 $ openssl req -new -key key.pem -out csr.pem 여기서 key.pem은단계 2에서생성한키이름이며 csr.pem은출력 CSR 파일의이름입니다. 다음정보를입력하라는메시지가나타납니다. ( 모든내용은영문으로작성해야하며, 아래는입력예입니다 ) Country( 국가코드 ) : KR State/province ( 시 / 도의전체이름 ) : Seoul Locality( 시, 구, 군등의이름 ) : Songpa-gu Organization( 회사이름 ) : Korea Information Security Agency Organization Unit( 부서명 ) : Policy Development Division Common Name (host name + domain name) : 추가속성 을입력하라는메시지가나타나면그냥넘어가셔도무방합니다. 4 CSR 제출생성된 CSR( 예 :csr.pem) 의내용은다음과같습니다 BEGIN CERTIFICATE REQUEST----- MIIBETCBvAIBADBXMQswCQYDVQQGEwJBVTETMBEGA1UECBMKU29tZS1TdGF0ZTEh MB8GA1UEChMYSW50ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMRAwDgYJKoZIhvcNAQkB FgFgMFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAL6nPTy3avNgbubx+ESmD4LV1LQG... AaAAMA0GCSqGSIb3DQEBBAUAA0EAXcMsa8eXgbG2ZhVyFkRVrI4vT8haN39/QJc9 BrRh2nOTKgfMcT9h+1Xx0wNRQ9/SIGV1y3+3abNiJmJBWnJ8Bg== -----END CERTIFICATE REQUEST 보안서버구축안내서

49 Ⅲ. SSL 방식보안서버구축하기 CSR 내용을인증기관에게메일로송부하거나인증서신청화면에붙여넣으신후인증서신청을진행하시면됩니다. 인증기관의발급절차에따라서인증서가발급됩니다. (2) 인증서설치방법 1 메일로받은인증서를복사하여파일로저장합니다.( 예 : Cert.pem) -----BEGIN CERTIFICATE----- MIIBETCBvAIBADBXMQswCQYDVQQGEwJBVTETMBEGA1UECBMKU29tZS1TdGF0ZT EhMB8GA1UEChMYSW50ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMRAwDgYJKoZIhvcNAQ kbfgfgmfwwdqyjkozihvcnaqebbqadswawsajbal6npty3avngbubx+esmd4lv... AAaAAMA0GCSqGSIb3DQEBBAUAA0EAXcMsa8eXgbG2ZhVyFkRVrI4vT8haN39/QJc 9BrRh2nOTKgfMcT9h+1Xx0wNRQ9/SIGV1y3+3abNiJmJBWnJ8Bg== -----END CERTIFICATE Apache 서버의적절한위치에저장합니다. 보안서버구축안내서 35

50 보안서버구축안내서 3 ssl.conf 수정 (virtual host 설정 ) ssl.conf의 https(ssl) 을사용하기위해구성된 virtual host 부분을 http 설정부분과동일하게수정합니다. 다음은설정예입니다. <VirtualHost # General setup for the virtual host DocumentRoot /usr/local/apache/htdocs ServerName ServerAdmin root@kisa.or.kr ErrorLog /usr/local/apache/logs/ssl_error_log TransferLog /usr/local/apache/logs/ssl_access_log 4 ssl.conf 수정 ( 키파일과인증서설정 ) ssl.conf 파일에서인증서파일과개인키파일의위치와이름을알맞게수정합니다. 인증서설정 : SSLCertificateFile /usr/local/apache/cert/(domain name)_cert.pem 개인키설정 : SSLCertificateKeyFile /usr/local/apache/certificate/(domain name)_ key.pem 36 보안서버구축안내서

51 Ⅲ. SSL 방식보안서버구축하기 5 웹서버재구동 - httpd.conf 파일에오류가없는지확인 /usr/local/apache/bin/apachectl t Syntax OK 라고나오면오류가없습니다. - 기존아파치서비스중단 /usr/local/apache/bin/apachectl stop - http, https 웹서버를구동 /usr/local/apache/bin/apachectl start 실행후인증서개인키패스워드입력하면 http(80) 과 https(443) 두서비스가실행 보안서버구축안내서 37

52 보안서버구축안내서 6 이제 SSL 인증서의설치가완료되었습니다. Ⅵ장으로이동하셔서실제웹페이지를어떻게수정해야하는지알아보겠습니다. 38 보안서버구축안내서

53 Ⅲ. SSL 방식보안서버구축하기 2.3 Web2B 서버에서보안서버구축하기가. 개인키생성및 CSR 생성방법 1 CSR 정보입력 Web2B 웹서버의홈폴더아래에 bin 폴더에 CA 명령어를실행하여 CSR을생성합니다. Pass phrase : 개인키비밀번호로 SSL 기동때확인 Common Name : 해당웹사이트의도메인명 보안서버구축안내서 39

54 보안서버구축안내서 2 CSR 추출 생성된 newreq.pem 에는 ( 암호화된 ) 개인키와 CSR의정보가함께포함되어있습니다. CSR 정보는다음과같습니다 BEGIN CERTIFICATE REQUEST----- MIIByzCCATQCAQAwgYoxCzAJBgNVBAYTAktSMQ4wDAYDVQQIEwVTZW91bDEOMAwG A1UEBxMFU2VvdWwxDTALBgNVBAoTBEtJQ0ExDDAKBgNVBAsTA0IDQzEbMBkGA1UE AxMSamNsZWUuc2lnbmdGUuY29tMSEwHwYJKoZlhvcNAQkBFhJqY2xlZUBzaWdu... JSHC5uBNGVCOoUOEtSEkUfTi7a5Nt+2/4R/dy+z/SQ== -----END CERTIFICATE REQUEST----- CSR 내용을인증기관에게메일로송부하거나인증서신청화면에붙여넣으신후인증서신청을진행하시면됩니다. 인증기관의발급절차에따라서인증서가발급됩니다. 40 보안서버구축안내서

55 Ⅲ. SSL 방식보안서버구축하기 나. 인증서설치방법 1 메일로받은인증서를저장합니다. CSR 생성과정에서만들어진 newreq.pem 파일의내용중위부분의개인키와인증기관에서발급받은 (domain_name).crt의내용을합쳐서 cert.pem이란새이름으로저장합니다. 보안서버구축안내서 41

56 보안서버구축안내서 2 Config 설정 SSL은 443 포트를사용하기때문에버추얼호스트노드를하나추가해야합니다. 아래는 SSL을적용시킨 config 파일예입니다. 네모로표시된부분을추가해주셔야하며, 주석처리되어있는 CaCertificateFile 부분 (#) 은생략가능합니다. 42 보안서버구축안내서

57 Ⅲ. SSL 방식보안서버구축하기 3 Config 컴파일수정된 sample.m 파일을웹서버에서사용할수있도록 wscfl 명령어를사용하여컴파일하는과정이필요합니다. 예 ) wscfl i sample.m 4 웹서버구동 Wsboot 명령어를사용하여서버를구동하고, 인증서생성과정에서입력했던개인키비밀번호를입력하시면됩니다. 보안서버구축안내서 43

58 보안서버구축안내서 5 이제 SSL 인증서의설치가완료되었습니다. Ⅵ장으로이동하셔서실제웹페이지를어떻게수정해야하는지알아보겠습니다. 2.4 iplanet 서버에서보안서버구축하기가. 개인키생성및 CSR 생성방법 1 서버관리화면에서서버선택서버관리화면의콤보박스에서보안서버를구축하고자하는웹서버를선택하고 Manage 버튼을누릅니다. 44 보안서버구축안내서

59 Ⅲ. SSL 방식보안서버구축하기 2 CSR 생성을위한정보입력 Security Tab을누르고왼쪽메뉴에서 Request a Certificate 를선택하여필요한정보를입력한후 OK 버튼을선택합니다. 입력해야할정보는다음과같습니다. ( 그림의밑줄참고 ) - CA Address : 관리자의이메일주소 - Key Pair File Password : 관리패스워드 - Requestor Name : 회사명 - Telephone Number : 관리자의전화번호 - Common Name : 웹서버의주소 - Address : 관리자의이메일주소 - Organization : 회사명 (Full Name 입력 ) - Organization Unit : 부서명 보안서버구축안내서 45

60 보안서버구축안내서 - Locality : 주소 - State or Province : 도시명 - Country : KR( 대한민국 ) 3 CSR 생성 OK 버튼을선택하면다음과같은정보가생성됩니다. CSR 내용을인증기관에게메일로송부하거나인증서신청화면에붙여넣은후인증서신청을진행하면됩니다. 인증기관의발급절차에따라서인증서가발급됩니다. 나. 인증서설치방법 1 Server Certificate를 iplanet 웹서버에설치관리자화면에서 Security Install a Certificate를선택한후, 아래화면에서표시된부분의정보를채워넣습니다. 46 보안서버구축안내서

61 Ⅲ. SSL 방식보안서버구축하기 2 iplanet 웹서버를재시작 (Server Off Server On) 보안서버구축안내서 47

62 보안서버구축안내서 3 iplanet 웹서버설정변경 iplanet서버에인증서를설치가완료됐다면, 서버에서 443 포트에대하여대기 (Listen) 할수있도록설정을변경해야합니다. 웹서버관리자화면에서 Preference Add Listen Socket을선택하여아래와같이정보를입력한후 OK 를선택합니다. 입력해야할정보는다음과같습니다. ( 그림의밑줄참고 ) - ID : 이전 80포트에대한 ID를참고하여 SSL 포트를위한 ID를부여 - IP : / any 로설정 - Port : 443, SSL 포트는 443이디폴트포트이며, 서버관리자와상의하여다른포트를사용하도록설정변경도가능 - Servername : 웹서버명 - Security : On 선택 - Default VS : 디폴트로사용할 Virtual Server url을입력 48 보안서버구축안내서

63 Ⅲ. SSL 방식보안서버구축하기 4 iplanet 웹서버설정추가변경 SSL에대한 443 Listen 기능을입력한후, 추가로설정해야할부분이있다면동일화면에서 Edit Listen Sockets 를선택한후 Attributes 링크를클릭하여수정합니다. 이화면에서 SSL2, SSL3/TLS에대한설정을변경하거나 iplanet 기본설정값으로리셋할수있습니다. 5 이제 SSL 인증서의설치가완료되었습니다. Ⅵ장으로이동하셔서실제웹페이지를어떻게수정해야하는지알아보겠습니다. 보안서버구축안내서 49

64 보안서버구축안내서 2.5 체인인증서및루트인증서설정하기가. 인증서종류및설치이유 체인인증서와루트인증서는국산인증서와신뢰형성을구축하기위하여설정하는부분입니다. 체인인증서와루트인증서는업체에서보안서버인증서발급시함께받을수있습니다. 그림 3-4 브라우저경고창발생예시 Windows XP SP2 미만버전을사용하는사용자는 MS에서업데이트를제공하고있지않기때문에국산인증서의경우신뢰되지않는인증기관에서발급받은인증서로인식하여브라우저에 < 그림3-4> 와같은경고창이발생하게됩니다. 서버에서체인인증서와루트인증서를설정하게되면 Windows XP SP2 미만익스플로러 (IE) 6.0 또는 7.0버전을사용하는사용자도국산인증서를신뢰된인증서로인식하게되어브라우저에경고창이발생하는불편을제거할수있으므로반드시설정하시기를권장하는바입니다. 익스플로러 (IE) 이외일부웹브라우저및운영환경에따라경고창이발생할수있습니다. 50 보안서버구축안내서

65 Ⅲ. SSL 방식보안서버구축하기 그림 3-5 인증서의인증경로 1 루트인증서 2 체인인증서 3 SSL 인증서 인증서체인의맨위에있는 인증서발급기관이서명한 웹서버의 CSR값을기반으로 신뢰된최상위인증서 일련의계층적인증서 생성된인증서 단, 모든국산인증서가경고창이발생하는것은아닙니다. 국산인증서는 2006년 2월에인터넷익스플로러 (IE) 브라우저의신뢰된루트인증기관으로등록되었으며 Windows XP SP2 버전이상부터는국산인증서가신뢰된기관에서발급받은인증서로인식되기때문에경고창이발생하지않습니다. 웹서버의종류에따라키체인인증서와루트인증서를설정하는방법이모두다르므로본가이드에서는가장대표적인웹서버인 Apache 서버, IIS 서버, 톰캣 (Tomcat) 서버에서체인인증서설정방법을설명하겠습니다. 이외서버의경우는보안서버구축전문업체에서제공하는설치방법및온라인지원을이용하시기바랍니다. 보안서버구축안내서 51

66 보안서버구축안내서 나. Apache 서버의체인및루트인증서설정방법 Apache 서버에서는인증서설치후 httpd.conf ( 또는 ssl.conf) 파일을수정하여체인인증서를설정합니다. 국산보안서버인증서인경우체인인증서및루트인증서를설정하여야합니다. 다음과같이설정하시면됩니다. # 보안서버인증서설정 SSLCertificateFile /usr/local/apache2/cert/test.kisa.or.kr_cert.pem # 보안서버인증서개인키설정 SSLCertificateKeyFile /usr/local/apache2/cert/test.kisa.or.kr_key.pem # 체인인증서설정 SSLCertificateChainFile /usr/local/apache2/cert/chan_cert.pem.cer # 최상위인증기관 ( 루트인증서 ) 인증서설정 SSLCACertificateFile /usr/local/apache2/cert/kisa_rootca_3.cer 체인인증서의파일명은발급기관에따라위내용과다를수있습니다. 52 보안서버구축안내서

67 Ⅲ. SSL 방식보안서버구축하기 다. IIS 서버에서체인및루트인증서설정방법 (1) 윈도우관리자콘솔 (mmc) 을이용한인증서스냅인추가 1 웹서버에설치된인증서를관리하기위하여인증서스냅인을추가하기위해윈도우실행창에서다음과같이명령어를입력합니다. 2 콘솔창이열리면파일 스냅인추가 / 제거를클릭합니다. 보안서버구축안내서 53

68 보안서버구축안내서 3 추가할스냅인의목록중인증서항목을선택합니다. 4 관리할인증서대상을선택하는창이열립니다. 실제웹서버가실행되고있는컴퓨터계정에대한관리를선택합니다. 54 보안서버구축안내서

69 Ⅲ. SSL 방식보안서버구축하기 5 스냅인이추가되어있는것을확인할수있습니다. 6 스냅인이관리할컴퓨터를선택하는창이열어실제실행되고있는로컬컴퓨터를선택합니다. 보안서버구축안내서 55

70 보안서버구축안내서 7 위과정으로인증서스냅인추가가완료되었습니다. (2) 체인인증서설치하기 1 인증서스냅인의하위목록중 중개인증기관 항목을확장하면다음과같이인증서해지목록과인증서목록이있습니다. 56 보안서버구축안내서

71 Ⅲ. SSL 방식보안서버구축하기 2 인증서항목에서오른쪽마우스버튼을클릭하시면 모든작업 가져오기 항목을선택할수있습니다. 3 가져오기를실행하면인증서가져오기마법사가시작됩니다. 보안서버구축안내서 57

72 보안서버구축안내서 4 가져올파일을선택하는창에서체인인증서의위치를선택한후다음버튼을클릭합니다. 체인인증서의파일명은발급기관에따라위내용과다를수있습니다. 5 체인인증서를웹서버의어느위치에저장할지선택합니다. 인증서의저장위치가 중개인증기관 인지확인합니다. 58 보안서버구축안내서

73 Ⅲ. SSL 방식보안서버구축하기 6 인증서가져오기마법사가완료되었습니다. 7 다음그림과같이 중개인증기관 의인증서목록에체인인증서가설치된것을확인할수있습니다. 보안서버구축안내서 59

74 보안서버구축안내서 (3) 루트인증서설치하기 루트인증서설치는체인인증서설치와동일합니다. 1 인증서를인증서스냅인의목록중 신뢰할수있는루트인증기관 항목의인증서항목에서오른쪽마우스버튼을클릭하면 모든작업 가져오기 를실행할수있습니다. 2 가져올루트인증서를선택합니다. 60 보안서버구축안내서

75 Ⅲ. SSL 방식보안서버구축하기 3 인증서가저장될위치가 신뢰할수있는루트인증기관 인지를확인합니다. 4 루트인증서가져오기마법사가완료되고다음그림과같이 신뢰할수있는루트인증기관 의인증서목록에루트인증서가추가된것을볼수있습니다. 보안서버구축안내서 61

76 보안서버구축안내서 라. 톰캣 (Tomcat) 서버에서체인및루트인증서설정방법 1 체인인증서설치체인인증서를 keystore에 import 합니다. keytool의사용옵션은다음과같습니다. keytool -import -alias < 별칭명 > -keystore <keystroe 파일명 > -trustcacerts -file < 체인인증서파일 > EX) keytool -import -alias chain -keystore keystore -trustcacerts -file chain_cert.pem.cer 체인인증서의파일명은발급기관에따라위내용과다를수있습니다. 2 루트인증서설치루트인증서를 keystore에저장합니다. keytool -import -alias < 별칭명 > -keystore <keystroe 파일명 > -trustcacerts -file < 루트인증서파일 > keytool -import -alias root -keystore keystore -trustcacerts -file KISA_ROOTCA_3.cer 62 보안서버구축안내서

77 Ⅲ. SSL 방식보안서버구축하기 자바버전에따라위메시지와다른메시지가출력될수있습니다. 3 설치확인다음과같은명령어로 keystore에체인과루트인증서가정상적으로설치되었는지확인할수있습니다. keytool -list -keystore./keystore 보안서버구축안내서 63

78 보안서버구축안내서 3. 기타 SSL 인증서소개 3.1 멀티도메인 SSL 인증서가. 인증서목적및소개 지금까지의 SSL 인증서는하나의도메인에대해서만인증을해주고있기때문에, 한대의서버에서한개의인증서만을사용하는것이일반적이었습니다. 웹서버암호화통신을위해서 https가응답하게되는기본적인 443 포트를하나의도메인만이소유하고사용할수가있기때문에, 하나의서버에여러개의도메인이존재하고모든도메인이 https를사용하고자하면, 아래의두가지방법을사용하였습니다. 첫번째는한대의서버에도메인개수만큼의각기다른 IP를부여하는것입니다. 즉, 한대의서버에서운영이되지만하나의도메인에하나의 IP를할당하는것으로도메인이 10개가있다면, IP 역시 10개가필요한방식입니다. 이방식은홈페이지가운영되는서버의대수를줄일수는있지만, IP 고갈을이유로잘사용되지않습니다. 나머지한가지는가장많이사용하는방식으로기본 https 포트인 443이아닌, 다른포트를사용해야하는것입니다. 예를들면, 등으로특정포트를직접지정하여접속을해야하는불편함이존재합니다. 즉, 기존에는 IP 고갈이나다른포트로접속등으로인해서웹호스팅서버또는한대의서버에서여러개의도메인을사용하는서버에서는 https를사용하는데불편함이있었습니다. 멀티도메인 SSL 인증서는기존의단일도메인인증으로인한불편함을없애고, 웹호스팅서버나한대의서버에서여러개의도메인을운영하는서버들에게 IP의추가나 443이 64 보안서버구축안내서

79 Ⅲ. SSL 방식보안서버구축하기 아닌다른포트를사용하지않고웹서버암호화통신을위해서동일한 443 포트를공유해서사용할수있도록편리함을제공할수있는인증서입니다. 멀티도메인 SSL 인증서는 1년동안의인증기간을갖는데, 그인증기간안에는언제든지최대 100개까지의도메인을추가할수있고, 또한제거할수도있습니다. 기본적으로도메인을추가할때는도메인하나당추가비용이따로청구되고삭제때는청구가되지않지만, 실수로삭제한경우다시추가를하려면다시비용을내야하므로삭제시에는주의해야합니다. 나. 멀티도메인 SSL 인증서구동방식멀티도메인 SSL 인증서는인증서가필요한다수의도메인을한대의서버에서운영해야하는경우유용한인증서서비스입니다. 인증서가필요한다수의도메인을운영하고있는웹호스팅서비스제공서버나여러도메인을운영하는서버의여러문제를해결할수있는방법이될수있습니다. 멀티도메인 SSL 인증서가여러개의도메인을인식할수있는방법은 CN(Common Name) 2) 변수를도메인수만큼여러개생성하여인증서에포함시켜두고, 클라이언트가암호화된통신으로웹서버에접속했을때웹서버는암호화통신된내용을복호화하여, 클라이언트에서요청한도메인이자신의인증서에있는 CN과일치하는지확인한뒤일치하면보안통신을허가하는방식으로구동을하게됩니다. 이런방법은단일도메인인증서에서도마찬가지로, 멀티도메인인증서는단지인증서안에여러개의 CN을포함하고있다는것외에는방식이나기술의차이는없습니다. 2) 인증서를설치한도메인의이름 보안서버구축안내서 65

80 보안서버구축안내서 < 그림 3-6> 멀티도메인 SSL 인증서의 CN이있는도메인과없는도메인의동작 < 그림 3-7> 는멀티도메인 SSL로보호된웹사이트방문시에도단일도메인 SSL 방식으로보호된웹사이트와마찬가지로자물쇠모양으로현재보안통신이이루어지고있음을보여주고있습니다. < 그림 3-7> 암호화통신이이루어지고있음을보여주는자물쇠이미지 자물쇠모양을더블클릭하여인증서를자세히보도록하겠습니다. 인증서의속성을확인해보면다수의 CN이존재하는것을확인할수있습니다. 이 CN 변수에값으로설정된도메인에대해서만암호화통신이가능합니다. 66 보안서버구축안내서

81 Ⅲ. SSL 방식보안서버구축하기 < 그림 3-8> 다수의 CN 이포함된멀티도메인 SSL 인증서 이미단일 SSL이적용된웹페이지속성에서확인하였듯이웹페이지의속성을확인하면보안이유지된상태로통신이이루어지고있음을확인할수있습니다. < 그림 3-9> 보안이적용된웹페이지속성확인 보안서버구축안내서 67

82 보안서버구축안내서 다. Apache 서버의멀티도메인 SSL 인증서설정방법 멀티도메인 SSL 인증서를적용하기위해서는기존에이미설정되어있던평문통신을위한 http(80) 의가상호스팅설정을변경해야합니다. 만일평문통신의가상호스팅설정을변경하지않으면, 보안통신을위해서 https를호출했지만 https가응답을하지않고일반평문을위한 http 프로토콜이응답을하는등에러가발생할수있기때문에, 평문은 http(80) 에서, 암호화된통신은 https(443) 에서호출하라고확실히구분을해주어야합니다. 아래의 < 그림 3-10> 과 < 그림 3-11> 이 Apache 서버의설정파일 (httpd.conf) 에서각각평문통신과암호화통신으로구분한설정예입니다. < 그림 3-10> Apache 서버에서평문통신을위한가상호스팅설정 68 보안서버구축안내서

83 Ⅲ. SSL 방식보안서버구축하기 < 그림 3-11> Apache 서버에서암호화통신을위한가상호스팅설정 라. IIS 서버의멀티도메인 SSL 인증서설정방법 (1) IIS 서버 6.0 이상 IIS에서멀티도메인 SSL 인증서를사용하는방법은 Apache 서버보다좀더까다롭습니다. IIS에서는동일한 443 포트를여러도메인이쓰고자한다면, IIS의 80 포트에대한가상호스팅설정을하는것이아니라 SecureBindings라는작업을거쳐야합니다. SecureBindings는 443 포트를여러도메인이쓸수있도록설정해주는것을뜻하며, 다음과같은절차를통해서설정합니다. 보안서버구축안내서 69

84 보안서버구축안내서 1 시작 실행 cmd ( 명령프롬프트 ) 명령입력명령이정상적으로수행이되었다면, 그림과같이명령프롬프트창이뜹니다. < 그림 3-12> CMD command 실행모습 2 다음명령창에 SSL 호스트헤더에대한 SecureBindings 의메타베이스속성을설정하기위해서아래와같은형식의명령을입력합니다. cscript.exe adsutil.vbs set /w3svc/<site identifier>/securebindings ":443:<host header>" * <site identifier> 는도메인의식별자번호 * <host header> 는웹사이트의호스트헤더 * < 그림 3-13> 참고 3 < 그림 3-13> 의화면을보기위해서는 시작 프로그램 관리도구 Internet Information Service (IIS) 관리자 를수행 < 그림 3-13> IIS 관리자에서 Site Identifier 와 Host header 값확인 70 보안서버구축안내서

85 Ⅲ. SSL 방식보안서버구축하기 그림에서첫번째네모상자가 <Site Identifier> 이고두번째네모상자가 <host header> 입니다. <Site Identifier> 는시스템에의해서자동으로부여되며, <host header> 는 SSL 인증서를신청할때사용하는도메인주소입니다. 4 아래 < 그림 3-14> 는 < 그림 3-13> 의 test03.xxx.co.kr이 443을사용하기위해서 SecureBindings 메타베이스를속성을설정하는과정입니다. < 그림 3-14> SecureBindings 메타베이스추가 < 그림 3-14> 를정상적으로수행하면, test03.xxx.co.kr이 443 포트에 binding 됩니다. 그결과를 < 그림 3-15> 에서처럼 IIS 관리자에서확인해보면, test04.xxx.co.kr과 test03.xxx.co.kr이암호화통신을위해서같은 443 포트를사용하고있음을확인할수있습니다. < 그림 3-15> SecureBindings 을통한 443 포트공유 만일 binding된도메인을지워야할경우에는 < 그림 3-16> 과같이 delete 옵션을이용하여 SecureBindings 메타베이스속성에서특정사이트에 binding된것을해제 ( 삭제 ) 할수있습니다. 보안서버구축안내서 71

86 보안서버구축안내서 < 그림 3-16> SecureBindings 제거 (2) IIS 서버 5.0에서의멀티도메인 SSL 인증서제약사항 IIS 5.0에서는 SecureBindings 을지원하고있지않기때문에, 멀티도메인 SSL 인증서를같은 443 포트에서사용할수가없습니다. 다만, IIS 5.0은기존의단독 SSL 방법과같이포트를다르게하는방법을사용해서멀티도메인 SSL 인증서를사용할수있습니다. 마. 멀티도메인 SSL 인증서의문제점지금까지멀티도메인 SSL 인증서의특징을소개했는데, 다른인증서들이장단점을가진것과마찬가지로멀티도메인 SSL 인증서도구조상문제점을가지고있습니다. 1 모든도메인리스트출력같은멀티도메인 SSL 인증서를쓰는, 다시말하면한대의서버내에서운영되고있는 https를사용하는모든도메인이노출될수있습니다. 2 동일한만료기간멀티도메인 SSL 인증서의가장큰구조적문제점이라고볼수있는것으로, 인증서내에포함되어있는각도메인들의 SSL 서비스만료기간이메인인증서의발급시기에좌우된다는것입니다. 72 보안서버구축안내서

87 Ⅲ. SSL 방식보안서버구축하기 다시말하면, 멀티도메인 SSL 인증서의최초발급일자가 2007년 1월 1일이라면, 1년이되는 2008년 1월 1일에는인증서에속해있는모든도메인이만료가되어지는것입니다. 예를들어최초발급일자가 2007년 1월 1일인멀티도메인 SSL 인증서에 2007년 1월에포함된도메인과 2007년 11월에포함된도메인이모두만료일자가 2008년 1월 1일이라는것입니다. 도메인마다단독 SSL 인증서를사용하면각각 1년의서비스기간이보증되는데반해서 ( 계약에따라서더길수도있다 ), 멀티도메인 SSL 인증서의경우에는일정비용을지불하지만, 1년이라는서비스기간을보장받지못할수있습니다. 3 인증서비용문제앞서설명했듯이도메인을추가할때마다일정비용을지불해야하고, 만료기간이되어멀티도메인 SSL 인증서를갱신하고자할때에는현재멀티도메인 SSL 인증서에포함되어있는모든도메인에대해서각각일정비용을지불해야하므로, 늦게 ( 만료일에가깝게 ) 추가한도메인에대해서는인증유지를위해서짧은기간에두번의비용을지불해야합니다. 3.2 와일드카드 (Wildcard) SSL 인증서 와일드카드인증서는도메인은같으나호스트네임이나서브도메인이다른여러페이지를인증하고자할경우에사용됩니다. 와일드카드인증서를이용하게되면서브도메인과같은다양한형태의도메인에도인증서를적용하여효과적으로관리할수있습니다. 보안서버구축안내서 73

88 보안서버구축안내서 예를들어같은 2단계도메인에있는서브도메인의예는다음과같습니다. mail.kisa.com secure.kisa.com login.kisa.com 와일드카드는다음과같이세개이상이될수도있습니다. *.*.domain.com 이나 *.*.*.*.domain.com 위와같이같은도메인을사용하고있는경우서브도메인의숫자에관계없이모두사용할수있어유연성을제공하게됩니다. 와일드카드인증서사용을위해서는먼저구축된환경검토하시고다른인증서와가격및여러가지요소를비교, 검토하신뒤선택하시어사용하시기바랍니다. 74 보안서버구축안내서

89 Ⅲ. SSL 방식 보안서버 구축하기 4. 오류 발생 시 대처방법 4.1 인증서 관련 ① 인증서를 발급받은 사이트 주소와 실제로 접속한 사이트 주소가 다른 경우 예를 들어 인증서를 발급받아 설치한 후 실제 적용은 login.kisa.or.kr로 설정하여 인증서를 발급받은 주소와 실제로 접속한 주소가 다른 경우에 위와 같은 경고창이 나오게 됩니다. ② 인증서가 유효하지 않은 경우 인증서의 유효기간이 지난 인증서를 계속 설치해 두는 경우에 나오는 경고창입니다. 그러나, 일반적으로 인증서가 설치된 사이트에 접속하는 PC의 날짜가 잘못되어 있어서 생기는 경우가 가장 많습니다. 보안서버 구축 안내서 75

90 보안서버 구축 안내서 ③ 브라우저가 웹 서버 인증서를 신뢰할 수 없는 경우 이 경우는 웹 서버 인증서를 발급한 인증기관을 웹 브라우저가 인식하지 못하는 경우로써, 브라우저에는 기본적으로 신뢰할 수 있는 인증기관 리스트가 내장되어 있는데 그 리스트에 없는, 즉 신뢰할 수 없는 인증기관에서 발급된 인증서를 설치한 경우에 발생하는 경고창입니다. 실제로는, 웹 서버에서 자체적으로 만든 인증서를 설치한 경우에 가장 많이 생깁니다. 4.2 보안되지 않은 항목의 표시 연결 관련 ① 보안된 항목 https와 보안되지 않은 항목 http를 모두 포함하는 경우 말 그대로 보안된 항목 https와 보안되지 않은 항목 http를 모두 포함하고 있어 나타나는 보안경고창입니다. 이용해서 암호화 통신을 하고자 하는 페이지의 소스에 이용하여 호출하는 이미지 등이 존재할 때 보안경고창이 나타나는 것입니다. 이 경우 아니오 버튼을 눌러 표시되지 않는 http 항목의 소스를 절대경로를 써서 https로 호출하시면 됩니다. 76 보안서버 구축 안내서

91 Ⅲ. SSL 방식 보안서버 구축하기 ② 한 페이지에 두 프로토콜이 존재하는 경우 한 페이지 안에 두 프로토콜이 존재하기 때문입니다. 예를 들어, 로그인을 위해 접속할 때 /login.jsp안에 호출하는 직접적인 소스가 있기 때문입니다. 이러한 경우 HTML 파일 중에 HTML 헤더 부분에 다음의 스크립트를 넣어주시면 됩니다. META HTTP-EQUIV="REFRESH" CONTENT="0; URL= URL)" 이 스크립트는 https 페이지에서 로그인한 후, https로 암호화되는 임의의 페이지를 하나 만들어 이동을 하되 그 페이지에서 메타태그를 이용하여 원하는 http 페이지로 리프레쉬하게 만드는 것입니다. 보통의 CGI 프로그래밍에서의 리다이렉션 함수(메소드)나 또는 HTTP Location 헤더를 직접 가지고 보안되지 않은 곳으로 리다이렉션하면 보안되지 않은 곳으로 간다고 경고가 나오지만, HTTPS 서버의 HTML을 읽게 한 후 그 HTML 내에서 META 태그를 이용해서 리다이렉션하게 되면, 브라우저는 일단 그 HTML이 HTTPS 서버에서 읽은 것으로 간주하고 보안 경고가 뜨지 않으며 HTML의 META 태그로 리다이렉션하는 경우에는 브라우저가 리다이렉션한 것처럼 동작되게 되어 경고가 뜨지 않습니다. 보안서버 구축 안내서 77

92 보안서버구축안내서 3 https 로접속하면페이지를표시할수없다는페이지가보이는경우 이에러는아래와같은이유로발생합니다. ⅰ. https 디렉토리에파일이존재하지않을경우 ⅱ. 서버나 end-user의방화벽에서 443 포트가차단되었을경우 ⅲ. https 서버가다운되었을경우 ⅳ. SSL Certificate 파일이정상적이지않을경우 ⅴ. 웹브라우저에서 ssl 3.0으로셋팅이되어있지않을경우 인증서가정상적으로설치되었는지를확인하시고서버에서 https를위한포트가활성화되었는지확인하시기바랍니다. 또한방화벽과 L4 스위치등보안장비가있다면 https를위한해당포트를모두허용해주어야합니다. IIS 서버의경우 Netstat na findstr 포트번호, Apache 서버의경우 Netstat na grep 포트번호 ' 명령어를이용하여 https 를위한포트가활성화되어있는지확인할수있습니다. 위의모든내용을확인한후에도정상적으로동작하지않을경우해당업체에게문의하시기바랍니다. 4.3 웹서버기종변경관련 1 운영중인웹서버를같은기종으로변경하려하는경우개인키와인증서를백업하신후재설치하여사용이가능합니다. 서버이전또는변경전설치업체에게반드시사전문의후작업을진행하시기바랍니다. 2 운영중인웹서버종류를다른기종으로변경하려합니다. 개인키와인증서를백업하신후재설치하여사용이가능합니다. 다만일부웹서버종류는인증서및개인키의호환이안되는경우가있으니서버이전또는변경전설치업체에게반드시사전문의후작업을진행하시기바랍니다. 78 보안서버구축안내서

93 Ⅲ. SSL 방식보안서버구축하기 4.4 CSR 생성관련 1 CSR 생성이정상적으로되지않습니다. CSR을생성하실경우해당정보는모두영문으로작성하여주셔야하며특수문자는사용하시면안됩니다. 또한입력을요청하는모든내용을입력하시고다시한번작업을하시기바랍니다. 위의모든내용을확인한후에도정상적으로동작하지않을경우해당업체에게문의하시기바랍니다. 2 인증서기간이만료되어새로발급받으려고하는데 CSR 파일을전에사용하던것으로가능한가요? 보통웹서버에서예전에사용하던 CSR 파일의사용이가능합니다. 그러나보안상의이유로추천하지않습니다. 인증서를갱신하실때마다새로이 CSR 파일을생성하시는것이좋습니다. 또한웹서버종류마다반드시 CSR을생성해야하는서버가있으니새로발급받으시기전에전문업체에게문의하시기바랍니다. 4.5 IP 관련 1 아직도메인이없는데 IP를대상으로인증서발급이가능합니까? 인증서는고유의식별자를대상으로발급됩니다. 즉개인은주민등록번호를기준으로발급되며법인은사업자등록번호로발급되고, 서버는도메인을기준으로발급되기때문에 IP 또는서버이름으로는발급되지않습니다. 따라서도메인을등록하시거나서버의호스트이름으로인증서를신청하셔야합니다. 단, 인트라넷등사설 IP를통해서비스를운영하시는경우일부인증서의발급이가능하니전문업체에문의하시기바랍니다. 보안서버구축안내서 79

94 보안서버구축안내서 2 SSL 인증서를발급받았는데도메인의 IP 를변경해도괜찮은가요? 인증서는특정 IP로제한하여발급되지않으며, 따라서 IP를변경해도무관합니다. 4.6 보안서버구축확인관련 1 보안서버가구축되었는지확인을어떻게하나요? 일반적으로보안서버가구축되어있으면 하지만 2 인증서를설치하면보안서버구축이완료되나요? 인증서를설치하면암호화통신을위한기초적인작업이완료됩니다. 하지만실제로암호화통신을하기위해서는인증서설치후웹페이지를수정하여 https 프로토콜을호출하는작업이필요합니다. https를호출하는작업이완료되어야만보안서버가완전하게구축, 운영될수있습니다. 각작업은프로그램소스를변경하여주는작업이므로 Ⅵ장웹페이지수정및적용확인하기 내용을참고하여웹사이트운영자가직접수행하셔야합니다. 80 보안서버구축안내서

95 Ⅲ. SSL 방식보안서버구축하기 4.7 기타 1 서브 (Secondary) 도메인에대해서도보안서버를적용하고싶습니다. 어떤방법이있을까요? 일반적인보안서버인증서는 Host*Domain 단위로발급됩니다. 예를들어 와 login.kisa.or.kr에보안서버를구축하고자한다면각각의인증서가필요합니다. 동일도메인이름을사용하는여러개의 Host에대해서보안서버를구축하고자한다면그에적합한제품을선택하여보안서버를구축하시기바랍니다. 서브디렉토리의경우에는별도의인증서가없어도암호화가가능합니다. 즉, 사이트에보안서버가구축되어있다면 이나 등의하위디렉토리는해당소스코드의수정만으로보안서버적용이가능합니다. 2 한도메인의운영을위해다수의서버를사용하고있거나반대로하나의서버에다수의도메인을운영하는경우는어떻게하나요? SSL 인증서는도메인단위로발급되며, 하나의도메인운영을위해다수의서버를운영하는경우에는하나의인증서를구매하고추가서버대수만큼의라이센스를받아야하므로사전에확인하시기바랍니다. 반대로하나의서버에다수의도메인을운영하는경우각도메인별로 SSL 인증서를발급받으셔야합니다. 3 우리가사용하고있는서버에보안서버설치가가능한가요? 기본적으로모든웹서버에는인증서방식의보안서버가설치가능하지만서버환경에따라서별도의작업이필요할수도있습니다. 보안서버신청및설치전에전문업체에게문의하신후작업을진행하시기바랍니다. 반드시확인이필요한서버는 Apache, Tomcat 등이있습니다. 보안서버구축안내서 81

96 보안서버구축안내서 5. 웹사이트운영 관리상의유의사항 5.1 인증서유효성의확보 앞에서도언급하였다시피 SSL 인증서설치의오류에따라보안경고창이발생하여이용자들에게 접속한웹사이트보안인증서에문제가있음 을경고하며, 웹사이트에대한신뢰도를하락시키고이용자들에게심리적부담감을주게됩니다. 따라서보안서버구축 관리시신뢰할수있는인증기관, 발급사이트이름, 인증서유효기간등을확인하여보안서버구축의유효성을유지하는것이매우중요합니다. 보안경고창이발생하는원인을간략히요약하면다음과같습니다. 1 인증서발급기관의신뢰성여부 : 웹브라우저에해당인증서가탑재되지않아서이를발급한기관을신뢰할수없는경우 2 인증서유효기간의적정성여부 : 발급된인증서의유효기간이만료되거나아직유효하지않은경우 3 인증서발급대상과설치된웹사이트와의일치성여부 : 인증서에명시된발급대상사이트와실제로설치된사이트가일치하지않는경우특히, 윈도우비스타에서 Internet Explorer 7을사용하는경우탐색이차단되고보안경고페이지가나타나며, 계속진행하면보안상태표시줄이붉게표시되기때문에사용자들에게더욱강력한경고를주게되어웹사이트접속을기피하게되므로인증서유효성확인에대한주의가필요합니다. 다음그림은보안경고창과 IE 7에서의보안경고페이지의예입니다. 82 보안서버구축안내서

97 Ⅲ. SSL 방식 보안서버 구축하기 그림 3-17 보안 경고창과 보안 경고 페이지 예 5.2 위 변조 웹사이트로 의심받을 가능성 인증서에 명시된 발급대상 사이트와 실제로 설치된 사이트가 일치하지 않을 경우, 중간에 해킹을 통해 위 변조된 피싱 사이트로 이용자들에게 의심받을 가능성이 높습니다. 특히 해커가 사용자 PC와 보안서버의 중간에서 프록시 서버를 통해 MITM(Man in the Middle) 공격을 할 경우, 유일한 보호수단은 사용자 PC에서 발생하는 보안경고창입니다. 따라 서 정상적인 웹사이트지만 SSL 인증서 유효성의 오류로 인해 보안경고창이 발생하는 것은 사용자들이 정상 웹사이트를 해커의 공격을 받은 웹사이트로 혼동하게 될 소지가 큽니다. 또한 보안서버 구축 가이드 및 리플렛, 안내 홈페이지를 통하여 보안경고창 발생 시 주의할 것으로 지속적으로 안내하고 있기 때문에, 이러한 안내를 받은 이용자가 위 변조된 사이트나 피싱 사이트 등의 불법 웹사이트로 오인하여 접속을 기피하는 현상이 발생할 수 있습니다. 따라서 보안경고창이 발생하지 않도록 보안서버 구축 웹사이트의 SSL 인증서 유효성을 확인하고 웹사이트를 수정하는 등 사전에 확인 조치가 필요합니다. 보안서버 구축 안내서 83

98 보안서버구축안내서 5.3 유효하지않는 SSL 인증서사용시보안경고창발생 해커가사용자 PC와보안서버의중간에서프록시서버를통해 MITM(Man in the Middle) 공격을할경우, 임의로발급한 SSL 인증서를사용함으로사용자 PC에보안경고창이발생하게됩니다. 따라서보안경고창은사용자가해킹을인지할수있는수단으로널리인지되어있으며, 사용자가웹사이트이용시정보보호를위한기본적으로확인하는사항입니다. 그림 3-18 ARP 스프핑을이용한 MITM 공격 정상적인웹사이트지만다음과같이유효하지않는 SSL 인증서를사용할경우보안경고창이발생하여사용자들이해커의공격을받은웹사이트로오인하게될소지가큽니다. 1 인증서발급기관이웹브라우저의신뢰기관목록에탑재되지않아서발급한기관을신뢰할수없는경우 (ex: 자체발급인증서, 인증기관인아닌업체에서발급한인증서 ) 2 발급된인증서의유효기간이만료되거나아직유효하지않은경우 3 인증서에명시된발급대상사이트와실제로설치된사이트가일치하지않는경우 84 보안서버구축안내서

99 Ⅲ. SSL 방식보안서버구축하기 < 대책 > 1) SSL 인증서발급시다음사항을점검한다. 1 주요웹브라우저에서신뢰기관으로등록된인증기관에서발급된인증서인가? 2 SSL 인증서내도메인명과웹사이트명이일치하는가? 3 SSL 인증서내유효기간이정확한가? 2) 보안서버구축후다음사항을점검한다. 1 내 외부네트워크에서웹사이트를접속하여보안경고창이발생하는지확인한다. 2 IE, 파이어폭스, 사파리등주요웹브라우저에서보안경고창이발생하는지확인한다. 5.4 암호화통신과일반통신의혼용된방식의위험성 최근 MITM(Man in the Middle) 공격의변형된방법으로사용자 PC에보이는 html 문서를변경하는해킹기법이보고되어 SSL 방식의보안서버구축시각별한주의가요구됩니다. 예를들면로그인과정에서보안접속선택시실행되는 를해킹도구를사용하여 로변경할경우사용자가보안접속을선택하여도일반접속으로로그인이진행되어 ID, 패스워드가인터넷통신과정에서평문으로전송됩니다. < 그림 3-19> ARP 스프핑과데이터변조를통한 MITM 공격 이러한해킹이가능한원인은웹사이트에서일반접속과보안접속을모두가능한형태로서비스를제공하고있기때문입니다. 보안서버구축안내서 85

100 보안서버구축안내서 < 대책 > 1) 로그인, 회원가입등개인정보를전송하는경우보안접속 ( 암호화전송 ) 만가능하게구축 2) 보안접속만가능한페이지를평문접속 ( 으로요청할경우접속을제한하거나특정페이지로강제이동하도록홈페이지소스수정. 5.5 SSL ciphersuite 취약성해결방안 SSL 프로토콜의취약점중하나는별다른제약없이도 Ciphersuite의수정이가능하다는것입니다. 공격자는이취약점을이용하여사용자의 Ciphersuite 설정을키길이가짧은대칭키알고리즘으로변경할수있습니다. 키길이가짧은대칭키알고리즘으로암호화된내용은공격자가쉽게복호화할수있기때문에, 서비스제공자는사용자의 Ciphersuite 설정이키길이가짧은암호화알고리즘으로되어있을경우를대비해야합니다. Ciphersuite 는익스플로러의경우레지스트리편집기를사용하여 HKEY_LOCAL_MACHINE \SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers 경로를찾아가면아래그림과같이수정이가능합니다. < 그림 3-20> 익스플로러의 Ciphersuite 수정 86 보안서버구축안내서

101 Ⅲ. SSL 방식보안서버구축하기 파이어폭스는 C:\Program Files\Mozilla Firefox\greprefs\security-prefs.js파일을수정하면 < 그림 3-8> 과같이메모장을통해수정이가능합니다. < 그림 3-21> 파이어폭스의 Ciphersuite 수정 이처럼 Ciphersuite 의수정을통한낮은암호화알고리즘의강제사용을막기위해서서버관리자는일정강도이상의암호화알고리즘사용을강제할필요가있습니다. 또, 낮은암호화알고리즘을사용하는경우사용자에게높은강도의암호화알고리즘을사용할것을권장하는경고메시지를사용할필요가있습니다. < 그림 3-9> 는높은강도의암호화알고리즘을사용할것을권장하는경고메시지의예입니다. < 그림 3-22> Ciphersuite 키길이에대한보안경고 보안서버구축안내서 87

102 보안서버구축안내서 6. Windows Vista 에서 Internet Explorer 7 이용시유의사항 최근마이크로소프트가발표한 Internet Explorer 7는피싱 (Phishing) 및개인정보를도용하는불법웹사이트로부터사용자를보호하고개인정보유출의위험없이안전하게인터넷상거래를이용할수있는보안기능을대폭강화하였습니다. 이에따라 SSL 인증서와관련하여이전버전과는다르게보안경고형태, SSL 인증서프로토콜설정등이수정되었으며, 간단하게내용을정리하면다음과같습니다. 6.1 보안경고의강화 이전버전에서는 SSL 인증서가유효하지않은경우, 유효하지않은이유를설명하는보안경고창이발생하였으나, Windows Vista에서 Internet Explorer 7을사용하는경우잘못된인증서를가진웹사이트는탐색이완전히차단되면서 이웹사이트의보안인증서에문제가있습니다. 라는경고페이지가보입니다. 인증서오류의원인을간략하게보여주며사용자를속이거나데이터를가로챌수있다는경고문구를보여줍니다. 사용자의판단에따라 이웹사이트를계속탐색합니다 를선택하여웹페이지에접속하더라도보안상태표시줄 ( 주소표시줄 ) 이빨간색으로표시되면서인증서오류를경고하게됩니다. 이것은이전버전의보안경고창보다강력한경고형태로써이용자에게 안전하지않은사이트에접속해있다 는것을지속적으로경고하게되므로웹사이트에대한신뢰도를하락시키고이용자들에게심리적부담감을주게됩니다. 따라서보안서버구축 관리시신뢰할수있는인증기관, 발급사이트이름, 인증서유효기간등을확인하여보안서버구축의유효성을유지하는것이매우중요합니다. 다음은인증서오류로인한보안경고페이지와보안상태표시줄이빨간색으로표시되는예입니다. 88 보안서버구축안내서

103 Ⅲ. SSL 방식보안서버구축하기 < 그림 3-23> 인증서오류로인한보안경고페이지예 보안서버구축안내서 89

104 보안서버구축안내서 < 그림 3-24> 보안상태표시줄이빨간색으로표시되는예 보안상태표시줄은인증조직에서수행한유효성검사의수준을표시합니다. 보안 상태표시줄아이콘색이의미하는내용은다음과같습니다. 색 의 미 빨강 인증서가오래되었거나, 유효하지않거나, 오류가있습니다. 노랑 인증서또는인증서를발급한인증기관의신뢰성을확인할수없습니다. 인증기관의웹사이트에서문제가있음을나타낼수있습니다. 인증서의유효성이보통수준입니다. 즉, 브라우저와웹사이트사이의통신이 흰색 암호화되어있습니다. 인증기관에서웹사이트의정해진업무관례에대해특별한 문제를표시하지않습니다. 인증서에서확장된유효성검사를사용합니다. 즉, 브라우저와웹사이트간의 통신이암호화되어있으며인증기관에서해당웹사이트가인증서및보안상태 녹색 표시줄에표시된규칙에부합하는합법적인조직에의해소유및운영되고있음을 확인했습니다. 인증기관에서웹사이트의정해진업무관례에대해특별한문제를 표시하지않습니다. * 출처 : Internet Explorer 7 도움말 90 보안서버구축안내서

105 Ⅲ. SSL 방식보안서버구축하기 6.2 인증서오류에대한설명강화 인증서오류에대한자세한내용은보안상태표시줄에나타나는인증서오류를클릭하여오류의원인을확인할수있습니다. 보다자세한오류의원인에대하여확인하고싶다면인증서오류정보를누르면도움말화면을통하여각오류의원인을확인할수있으며, Windows 도움말에설명된인증서오류는다음과같습니다. < 그림 3-25> 인증서오류정보확인방법 보안서버구축안내서 91

106 보안서버구축안내서 오류메시지 의 미 이웹사이트를신뢰하지마십시오. 이오류는종종웹사이트에서 부정한방법으로보안인증서를얻었거나사용했음을의미합니다. 이웹사이트의보안인증서가해지되었습니다. 인증서에서지정된암호화키가손상되었거나인증서에나열된사용자에게사용권한이없을수도있습니다. 인증서를발행한인증기관은 해지된목록을보관하며 Internet Explorer는해당목록을확인합니다. 이웹사이트의보안인증서가만료되었습니다. 이웹사이트의주소가보안인증서의주소와일치하지않습니다. 이웹사이트의보안인증서가신뢰할수있는소스에서발행한것이아닙니다. 이웹사이트의보안인증서문제가발견되었습니다. 이오류는현재날짜가인증서유효기간의이전이나이후인경우에발생합니다. 웹사이트의인증서를인증기관과함게갱신하여최신상태를유지해야합니다. 기한이지난인증서에는보안위험이있을수있습니다. 인증서가만료된후에는인증서를발행한인증기관에서인증서의잘못된사용에대해책임지지않습니다. 이오류는웹사이트가다른웹주소에발행한디지털인증서를사용하고있음을나타냅니다. 회사가여러웹사이트를소유하며한웹주소에발행한인증서를다른사이트에서사용하는경우에도이오류가발생할수있습니다. 이오류는해당사이트가실제로인증서의웹사이트와관련이있다고확신하는경우에만무시하십시오. 이오류는 Interner Explorer 7가인식하지못하는인증기관에서인증서를발행한경우에발생합니다, 이런오류는법률관련업무나은행사이트에서는잘발행하지않습니다. 위조된인증서를사용하려고하는피싱사이트에서이런오류를발생시키는경우가자주있습니다. 이오류는 Interner Explorer 7가다른오류조건에맞지않는보안인증서문제를찾았을때발생합니다. 이오류는인증서가손상되거나변조또는알수없는형식으로작성되거나읽을수없는경우에발생할수있습니다. 인증서에이오류가있으면사이트의 ID를신뢰하지마십시오. * 출처 : Internet Explorer 7 도움말 92 보안서버구축안내서

107 Ⅲ. SSL 방식보안서버구축하기 또한인증서정보를확인하고계속접속해도되는사이트인지판단하고자한다면하단의인증서보기를눌러인증서발급기관, 발급대상사이트명, 유효기간등을직접확인한후접속여부를결정할수있습니다. < 그림 3-26> 인증서오류원인확인방법 보안서버구축안내서 93

108 보안서버구축안내서 6.3 인증서프로토콜기본설정변화 Internet Explorer 7에서는인증서프로토콜기본값으로 SSLv2 대신 TLSv1을사용하기때문에 SSLv2 를사용하는사이트의경우보안경고페이지가표시됩니다. 이문제를해결하기위해서 Internet Explorer 7 이용자들은메뉴중도구 인터넷옵션 고급탭을선택하여보안내용중 SSL 2.0을사용하는것으로설정하면됩니다. < 그림 3-27> IE 7 의인증서프로토콜기본설정 94 보안서버구축안내서

109 Ⅲ. SSL 방식보안서버구축하기 7. 국산 SSL 인증서보안경고창해결방법 국산 SSL 인증서가 2006년 2월에인터넷익스플로러 (IE) 브라우저의신뢰된루트인증기관으로등록되었기때문에그이전부터사용되어온웹브라우저및운영체제에반영되지않아보안경고창이발생하는경우가있습니다. 보안경고창이발생하는경우를살펴보고각원인별해결방법을설명하겠습니다. 7.1 Windows 98을사용가. 발생원인 Windows 98 사용자가국산 SSL 인증서를이용하여보안서버를구축한웹사이트에접속하는경우보안경고창이발생하게됩니다. 그이유는국산보안서버용루트인증서가 2006년 2월에 MS의신뢰된루트인증기관목록에탑재되었으나, 윈도우즈 98은더이상패치를제공하지않아해당내용이반영되지못하기때문입니다. 보안경고창확인후계속진행하여도전송되는데이터는암호화되며, 국산보안서버용루트인증서를등록하여줌으로써향후보안경고창이발생하지않도록조치할수있습니다. 나. 해결방법 1 보안경고창발생시 인증서보기 를클릭합니다. 경고창내용중인증서날짜가유효하고, 방문하는웹페이지와동일한이름을가지고있는지확인후 인증서보기 를클릭합니다. 만약인증서날짜가유효하지않거나방문하려는웹페이지와이름이다르다면해당웹사이트에서유효하지않는인증서를사용중인것이므로접속에유의하시기바랍니다. 보안서버구축안내서 95

110 보안서버구축안내서 2 보증서 ( 인증서 ) 정보중 보증경로 탭을확인합니다. 보증경로에서접속한웹사이트상위단계의보증서 ( 인증서 ) 를선택한후 보증서보기 를클릭합니다. 96 보안서버구축안내서

111 Ⅲ. SSL 방식보안서버구축하기 3 보증서 일반탭 에서보증서정보를확인합니다. 발급자가 KISA RootCA 1 또는 KISA RootCA 3 로되어있으면 발급자설명 버튼을클릭합니다. 4 공인인증서 ( 보증서 ) 임을확인하시고 추가정보 버튼을클릭합니다. 국산보안서버용루트인증서를설치할수있는전자서명인증관리센터홈페이지 ( 로이동합니다. 보안서버구축안내서 97

112 보안서버구축안내서 5 보안서버루트인증서설치 버튼을클릭합니다. 웹페이지화면좌측하단에있는 보안서버용루트인증서설치 버튼을눌러안내에따라인증서를설치합니다. 6 대화창의 열기 를클릭합니다. 98 보안서버구축안내서

113 Ⅲ. SSL 방식보안서버구축하기 7 보증서 일반탭 에서보증서정보를확인합니다. 발급대상과발급자가 KISA RootCA 1 또는 KISA RootCA 3 인지확인한후 보증서설치 버튼을누릅니다. 8 보증서관리자가져오기마법사가시작되면 다음 을클릭합니다. 보안서버구축안내서 99

114 보안서버구축안내서 9 보증서종류기준으로보증서저장소를자동으로선택 을선택하고 다음 을클릭합니다. 10 보증서저장소위치가 신뢰된루트보증기관 인지확인하고 마침 을클릭합니다. 100 보안서버구축안내서

115 Ⅲ. SSL 방식보안서버구축하기 11 아래화면내용을확인하시고 예 를클릭합니다. 12 확인 을클릭하면, 보증서관리자가져오기가완료됩니다. 보안서버구축안내서 101

116 보안서버구축안내서 13 인증서설치를완료한후웹사이트접속을시도하던웹브라우저를종료하고다시웹사이트에접속하면, 보안경고창없이사이트에접속할수있습니다. 14 접속한페이지하단의노란색자물쇠이미지를더블클릭하고보증경로탭을눌러국산보안서버용루트인증서설치를확인합니다. KISA RootCA 1 또는 KISA RootCA 3 이설치되어있는지확인합니다. 7.2 Windows XP Sevice Pack 1 이하의운영체제를사용가. 발생원인 Windows XP Sevice Pack 1 이하의운영체제하에서보안경고창이발생하는경우는사용자업데이트를제대로설치하지않았기때문입니다. Windows XP Service Pack 2 버전부터는인증서신뢰목록에국산 SSL 인증서가포함되어있지만, 그이전버전에서는 Microsoft사가제공하는업데이트를설치하여인증서신뢰목록을갱신하거나국산보안서버용루트인증서를등록하여줌으로써향후보안경고창이발생하지않도록조치할수있습니다. 102 보안서버구축안내서

117 Ⅲ. SSL 방식보안서버구축하기 나. 해결방법 Microsoft사에서제공하는업데이트를설치하지않아보안경고창이발생하는것이므로윈도우업데이트를실행한후국산 SSL 인증서를이용한보안서버구축웹사이트에접속하면보안경고창이발생하지않습니다. 또는 가. Windows 98을사용하는경우 와마찬가지로보안경고창이발생하는웹사이트의 SSL 인증서발급자정보를확인한후루트인증서를설치하거나전자서명인증관리센터 ( 내의보안서버용루트인증서를설치하면보안경고창이발생하지않습니다. 윈도우업데이트를하고자하는경우, 윈도우시작버튼을눌러 Windows Update를실행한후사용자정의업데이트중루트인증서업데이트를선택하여해당파일을설치하면됩니다. 보안서버구축안내서 103

118 보안서버구축안내서 7.3 Firefox 등 MS Internet Explorer 외의브라우저를사용가. 발생원인 국산보안서버용루트인증서가 MS Internet Explorer의신뢰된루트인증기관목록에탑재되었으나, Mozilla Firefox, Netscape Navigator 등일부웹브라우저에는탑재되지않아이들웹브라우저를이용하여보안서버구축웹사이트에접속할경우 신뢰된인증서발급기관이아니다 라는보안경고창이발생하는경우가있습니다. 국내사용자가상대적으로많은웹브라우저에대한인증서탑재를우선추진하여일부누락된경우가있으니, 불편하더라도국산 SSL 인증서발급기관을확인절차를거쳐경고창이발생하지않도록조치할수있습니다. 나. 해결방법보안경고창을확인후계속진행하여도전송되는데이터는암호화되며, 다음과같이 KISA 인증서에대하여사용을허가하면향후보안경고창이발생하지않도록조치할수있습니다. 본가이드에서는 Internet Explorer 외의웹브라우저중국내에서많이사용되는 FireFox 를중심으로설명하며, Firefox 와동일한소스를사용하는 Netscape Navigator 의경우같은방법으로문제를해결할수있습니다. 1 보안경고창발생시 인증서조사 를클릭합니다. 알수없는기관에서인증된웹사이트 라는경고창이발생하면 인증서조사 를눌러인증서의내용을확인합니다. 만약 서버인증서가만료되었습니다, 보안경고 : 도메인명이맞지않음 내용의보안경고창이발생한다면해당웹사이트에서유효하지않는인증서를사용중인것이므로접속에유의하시기바랍니다. 104 보안서버구축안내서

119 Ⅲ. SSL 방식보안서버구축하기 2 인증서보기 에서인증서정보를확인합니다. 일반탭을선택하여발급자정보를확인하면 KISA 에서발급한인증서라는것을확인할수있습니다. 상세정보탭을선택하여보다자세한인증서정보와발급자정보를확인할수있습니다. 보안서버구축안내서 105

120 보안서버구축안내서 3 인증서정보를확인한후, 인증서사용을허가합니다. 이인증서를영구적으로허가 를선택한후확인을누르면웹브라우저의신뢰된인증기관목록에 KISA를추가하면향후보안경고창이발생하지않게됩니다. 4 웹사이트에재접속하여인증서사용을확인합니다. 를이용하여보안접속하면보안경고창없이접속되는것을확인할수있습니다. 또한주소입력창오른쪽과웹브라우저하단오른쪽에서자물쇠모양의아이콘을확인할수있습니다. 106 보안서버구축안내서

121 Ⅳ. 응용프로그램방식보안서버구축하기 1. 소개및보안서버구축절차 2. 설치과정 3. 오류발생시대처방법 4. 응용프로그램방식의보안서버개발시점검항목

122 보안서버구축안내서 Ⅳ. 응용프로그램방식보안서버구축하기 1. 소개및보안서버구축절차 1.1 개요 응용프로그램방식의경우 SSL 방식과는달리제공되는솔루션마다설치방법과사용방법이서로다릅니다. 따라서본절에서는공통적인설치과정과응용프로그램방식만이가지는특징에대해서설명하겠습니다. 응용프로그램방식은 SSL 방식과같이클라이언트와서버간의데이터를암호화하는기능을제공하고있습니다. SSL 방식이웹브라우저와웹서버가기본적으로가지고있는 SSL 기능을이용하는것과는달리응용프로그램방식은웹브라우저와웹서버에별도의모듈을추가하여데이터를암호화하는기능을제공합니다. 대부분의웹브라우저는기능을향상시키기위한나름대로의확장기능을제공합니다. 인터넷사용시볼수있는플래쉬나미디어플레이어등이이러한확장기능을이용하는대표적인예라고볼수있습니다. 응용프로그램방식은웹브라우저와웹서버가기본적으로제공해주지않는추가적인기능으로동작하기때문에이러한확장기능을통하여기능을제공합니다. 웹브라우저확장기능을이용해만든것을클라이언트모듈이라고하고, 웹서버의확장기능을이용해만든것을서버모듈이라고합니다. 클라이언트모듈은일반적으로 Active-X 형태로제공되며, 서버모듈은 Java의경우 Java Servlet Filter 혹은 Jar 파일로제공되며, IIS의경우 Filter 혹은 DLL 형태로, PHP의경우확장모듈형태로제공됩니다. 108 보안서버구축안내서

123 Ⅳ. 응용프로그램방식보안서버구축하기 1.2 보안서버구축절차 응용프로그램방식은웹서버에서버모듈을설치해야하고, 웹브라우저에클라이언트모듈을다운로드하여설치해야하는방식이므로 SSL 방식과는다른절차가필요합니다. SSL 방식의경우웹서버에인증서를설치한후설정부분을수정하고, 실제사용할부분의 URL 부분을수정해주어야하는것과는달리응용프로그램방식은웹서버혹은웹어플리케이션서버에모듈을설치하는과정이필요하므로구축전문업체와의협력을통해설치가진행됩니다. 일반적인응용프로그램방식의구축절차는다음과같습니다. 그림 4-1 응용프로그램방식보안서버구축절차 1 서버플랫폼확인보안서버를응용프로그램방식으로구축하기로결정하셨다면그다음으로할일은서버플랫폼을확인하는단계입니다. 응용프로그램방식은보안서버서버모듈을설치 보안서버구축안내서 109

124 보안서버구축안내서 해야하기때문에서버플랫폼으로어떤것을사용하느냐에따라각각에맞는서버모듈을제공하게됩니다. 그림 4-2 서버플랫폼의구성 서버플랫폼은통상 웹서버 와 웹어플리케이션서버 로나누어질수있습니다. 보안서버의서버모듈은일반적으로웹어플리케이션서버와연동됩니다. 따라서어떤웹어플리케이션서버를사용하느냐에따라제공되는보안서버서버모듈도달라집니다. 웹서버는일반적으로 Apache 웹서버를많이사용하고웹어플리케이션서버로는자바계열의톰캣 (Tomcat), 제이보스, 웹로직등이있고, MS 계열의 ASP와.Net이있으며, 그밖에 PHP 등이많이사용되고있습니다. 2 보안서버구축전문업체확인현재운영되고있는서버플랫폼을확인하셨다면보안서버구축전문업체등을통해해당서버플랫폼에맞는응용프로그램방식의솔루션을제공해줄수있는지확인해야합니다. 110 보안서버구축안내서

125 Ⅳ. 응용프로그램방식보안서버구축하기 3 암호화적용부분결정보안서버구축전문업체가결정되었으면보안서버구축전문업체와함께암호화를적용할부분을결정해야합니다. 응용프로그램방식에서의암호화부분은텍스트로전송되는부분만을암호화하여, 이미지와같이암호화가불필요한부분은제외시킬수있습니다. 4 모듈설치및환경설정암호화적용부분까지결정되었다면보안서버구축전문업체와함께서버모듈을설치해야합니다. 이와함께필요한환경설정도진행되게됩니다. 환경설정부분은제공되는보안서버전문업체의솔루션마다조금씩다를수있습니다. 5 구축완료이제응용프로그램방식의보안서버구축이완료되었습니다. 1.3 프로토콜설명 응용프로그램방식에서암호화된데이터를전달하는프로토콜은 SSL 방식과는달리 Application 계층에서이루어집니다. SSL 방식의경우 Application 과 Transport 계층사이에 SSL이라는별도의계층으로서데이터를전달합니다. 이방법의경우 Application 에서암호화할때계층을설정해주는일이외에는별다른작업이필요없는장점을가지고있습니다. 하지만, 계층으로서데이터를전송하기때문에암호화할부분을선택적으로전송할수없어불필요한이미지나동영상과같은데이터도암호화하여전송할수밖에없습니다. 보안서버구축안내서 111

126 보안서버구축안내서 그림 4-3 응용프로그램방식프로토콜 응용프로그램방식의경우는별도의계층이아닌 Application 계층에서동작합니다. 이러한방식의장점은필요한부분만암호화하여전달할수있다는점입니다. Application 에서필요한부분만을적용하여암호화하여불필요한리소스낭비를줄일수있습니다. 하지만 Application에서동작하기위해서는 Application과의연동작업이필요합니다. 즉, 웹서버쪽프로그램일부의수정작업이필요합니다. 응용프로그램방식을제공하는업체에따라수정작업의범위나양은많은차이가있습니다. 일부응용프로그램방식의경우 SSL 방식과유사한형태의암호화방식을취하면서도선택적암호화가가능한기능을제공하는제품도있습니다. 112 보안서버구축안내서

127 Ⅳ. 응용프로그램방식보안서버구축하기 2. 설치과정 2.1 클라이언트모듈설치 앞서설명된것처럼응용프로그램방식에서는클라이언트모듈의설치가필요합니다. 클라이언트모듈이설치되는것은사용자 PC의웹브라우저이지만이를위해서는사용자가웹서버에접속했을때클라이언트모듈을다운로드하여설치하게끔하는사전작업을수행해야합니다. 이것은웹포털이나웹서비스에접속했을때해당사이트에플래쉬가있을경우자동으로플래쉬구동프로그램이설치되는것과동일한원리입니다. 이를위해서는웹서버의특정부분에클라이언트모듈을다운로드및설치하는 object 태그를넣어두어야합니다. 하지만이러한태그를설치자가직접작성하는것은아닙니다. 대부분의응용프로그램방식을제공하는업체들은별도의 Javascript 파일을만들어이안에서자동으로다운로드되고설치되도록만들어두었습니다. 설치시는이 Javascript 파일을포함시키면됩니다. <script language="javascript" src="/abc_plugin.js"> </script> 이 Javascript 파일을포함시킬위치는해당솔루션을공급하는업체와협의하여진행하면됩니다. 2.2 서버모듈설치 서버모듈의설치는응용프로그램방식을공급하는업체별로또한사용하는웹어플리케이션서버의종류에따라많은차이가있습니다. 따라서대부분의응용프로그램방식을제공하는 보안서버구축안내서 113

128 보안서버구축안내서 업체들이서버모듈설치과정을직접지원하고있습니다. 응용프로그램방식을사용하고자한다면전문업체와협의하여해당웹어플리케이션서버에적절한서버모듈을설치하면됩니다. 2.3 사이트접속 웹브라우저를열어응용프로그램방식의보안서버가구동중인웹서버에접속하게되면아래화면과같이클라이언트모듈설치에대한안내화면이나타나게됩니다. 이화면은클라이언트모듈설치시포함시킨 Javascipt 파일에서자동적으로동작하도록구성되어있기때문에필요시내용을수정할수있습니다. < 그림 4-4> 암호화모듈설치를위한보안경고창 114 보안서버구축안내서

129 Ⅳ. 응용프로그램방식보안서버구축하기 사용자가설치에동의할경우다음그림과같이자동적으로클라이언트모듈이설치및로딩된후에사이트가열립니다. 그림 4-5 암호화모듈설치 보안서버구축안내서 115

130 보안서버구축안내서 다음은패킷캡쳐를통해암호화통신이되는것을확인한것입니다. 그림 4-6 암호화통신확인 116 보안서버구축안내서

131 Ⅳ. 응용프로그램방식보안서버구축하기 3. 오류발생시대처방법 3.1 OS 관련 1 클라이언트모듈은 Windows 95 등오래된 OS 에서도설치되나요? 대부분의응용프로그램방식제공업체들은상당기간에걸친기술개발을통해 Windows 95 버전이상대부분의 OS에서설치문제가발생하지않는클라이언트모듈을제공하고있습니다. 하지만일부고객들의 PC 이상으로설치되지않는문제가발생하는경우응용프로그램방식제공업체들의고객지원센터를통해기술지원을받으실수있습니다. 2 MS Windows 이외의 OS 및 Firefox 등의웹브라우저에서도클라이언트모듈을사용할수있나요? 일반적으로클라이언트모듈은 MS Windows의 Internet Explorer 브라우저용을기본적으로제공합니다. 일부응용프로그램방식제공업체의경우 Firefox 및리눅스, 맥용클라이언트모듈도제공하고있습니다. 3.2 SSL 방식과의비교관련 1 응용프로그램방식이 SSL 방식과비교되는장단점은무엇인가요? 응용프로그램방식의경우앞서설명된바와같이암호화할부분을선택할수있어서암호화에대한서버의부담을줄일수있습니다. 또한 SSL방식에서는기본적으로제공하는암호화알고리즘이외에추가적인암호화알고리즘 ( 국산암호화알고리즘인 SEED, ARIA 등 ) 을이용할수있습니다. 또한공인인증서를이용한사용자인증이나전자서명과같은업무를추가하신다면응용프로그램방식에추가적인지원이가능합니다. 하지만서버모듈을제공하여야하고상당부분의기술지원이필요하기때문에연간서비스형태로제공되는 SSL에비해서구축비용이많이소요될수있습니다. 보안서버구축안내서 117

132 보안서버구축안내서 2 SSL 방식은 HTTP 80 포트와는별도로 443 등의보안포트를사용합니다. 응용프로그램방식은어떻습니까? 앞서설명드린대로응용프로그램방식은 Application 계층에서사용되기때문에 HTTP 80 포트를그대로사용합니다. 하지만, 일부응용프로그램방식의경우제품의특성상별도의포트를사용하는제품도있으니전문업체에확인하시기바랍니다. 3 파일을암호화하여업로드하고싶은데응용프로그램방식에서도가능한지요? 응용프로그램방식제공업체에서는별도의추가모듈로서파일을암호화하여업로드하는기능을제공하고있습니다. 솔루션제공여부는제공업체에문의하시기바랍니다. 4. 응용프로그램방식의보안서버개발시점검항목 응용프로그램방식의보안서버를자체적으로개발시에는다음과같은기준이충족되도록개발하여야네트워크상에서전송되는데이터를인가되지않은노출, 변경, 삭제행위로부터안전하게보호할수있습니다. 4.1 비밀성 통신상대방과통신을수행함에있어안전한암호화방법을사용하여데이터의비밀성이훼손되지않도록방어할수있어야하며, 안전한암호화를위해서사용되는암호화알고리즘은전송계층보안 (TLS : Transport Layer Security) 에대한국제표준인 RFC2246 The TLS Protocol Version 1.0을충족하여야합니다. 암호화알고리즘을구현하는경우권장사항은다음과같습니다. 118 보안서버구축안내서

133 Ⅳ. 응용프로그램방식보안서버구축하기 1 안전한암호화를위해서는 SEED, AES 또는이들의안전성에준하는암호화알고리즘을사용 (SEED: 한국인터넷진흥원이개발한 128비트대칭형블럭암호알고리즘, AES: Advanced Encryption Standard, 미국의표준암호알고리즘의공식명칭 ) 4.2 암호키관리 키관리데이터의무결성과비밀성이훼손되지않도록방어할수있어야하고, 키의적절하고안전한교환을보장할수있어야하며, 키관리데이터의무결성, 키의안전한교환, 키의안전한생성등세부기준은 TLS 국제표준을충족하여야합니다. 키관리방안을구현하는경우권장사항은다음과같습니다. 1 키관리데이터의무결성을제공하기위해서는 RSA, KCDSA, ECKCDSA 등 1024 비트이상 RSA 인터넷암호화및인증시스템에준하는전자서명알고리즘또는 HAS-160, SHA-1 등 160비트이상의해쉬값을생성할수있는해쉬알고리즘을사용 (RSA: Rivest-Shamir-Adleman, 1977년에개발된알고리즘을사용하는인터넷암호화및인증시스템으로가장보편적으로사용되는공개키암호알고리즘, KCDSA, ECKCDSA: 인증서기반국내표준전자서명알고리즘 ) 2 키의안전한교환을위해서는 RSA, D-H 등 1024 비트이상 RSA인터넷암호화및인증시스템의안전성에준하는알고리즘을사용 3 키의안전한생성을위해서는암호학적으로안전한의사난수생성알고리즘을사용 보안서버구축안내서 119

134 보안서버구축안내서 4.3 식별및인증 사용자단말의보안모듈은암호화된통신을수행하기전에통신대상서버의보안모듈을유일하게식별해야합니다. 4.4 자체기능보호 초기시동할때부터제품의보안기능변경, 비활성화, 우회시도등으로부터자체를보호할수있어야합니다. 4.5 배포및설치 보안서버및관련사용자프로그램은안전한방법으로배포및설치되고, 인가된관리자에의해안전한방식으로구성, 관리, 사용되어야합니다. 4.6 쿠키및파일 쿠키는서버에서사용자의컴퓨터에설치하는기록정보파일로서, 웹브라우저의신속성을위해널리사용되고있으며 < 그림 4-7> 과같이저장위치가알려져있습니다. < 그림 4-7> 쿠키의알려진저장위치 120 보안서버구축안내서

135 Ⅳ. 응용프로그램방식보안서버구축하기 따라서공격자가손쉽게쿠키를가로챌수있기때문에, 쿠키에개인정보를암호화하지않고저장하게되면다음그림과같이개인정보가노출될수있습니다. < 그림 4-8> 은쿠키파일을스니핑을통해획득한후내용을확인한것입니다. 사용자 ID와성별등과같은개인정보가여과없이드러남을확인할수있습니다. < 그림 4-8> 가로챈쿠키의개인정보노출따라서응용프로그램이쿠키에개인정보를쓸때에는개인정보를암호화하여쿠키에써야합니다. 쿠키를암호화하는방법은각보안서버가사용하는스크립트언어에서제공하는암호화함수를사용하면됩니다. 방법은각언어별로조금씩차이가있습니다. 아래그림은 PHP를사용하여쿠키를암호화하는방법입니다. 보안서버구축안내서 121

136 보안서버구축안내서 [!--- cookie.php ----] [? // 암호화를위한초기값생성 $iv = mcrypt_create_iv(mcrypt_get_iv_size(mcrypt_rijnda EL_256, MCRYPT_MODE_ECB), MCRYPT_RAND); // 해독을위한키 $key = "jdng5jfdpfe519f2dkdh3kdhabc35dfc4"; // 문자열의암호화 $cookietext = "securityserver"; $cipher = mcrypt_encrypt(mcrypt_rijndael_256, $key, $co okietext, MCRYPT_MODE_ECB, $iv); // 쿠키생성 setcookie("username", $cipher, mktime(0,0,0,11,11,2008), "/login.php");?] PHP에서는 mcrypt_encrypt() 함수를사용하여쿠키를암호화합니다. 먼저 Initial Vector(IV) 를생성하고암호화에사용할키를임의로지정합니다. 그리고 mcrypt_encrypt() 함수를사용하면평문으로전송되는쿠키를암호화할수있습니다. 암호화된쿠키를복호화하려면 mcrypt_decrypt() 함수를사용하면됩니다. 먼저 Initial Vector(IV) 을생성하고 mcrypt_decrypt() 함수의입력값으로암호화에사용된키와암호문을사용하면됩니다. 복호화된쿠키는웹브라우저를통하여평문형태로출력됩니다. 쿠키를복호화하는방법은다음과같습니다. 122 보안서버구축안내서

137 Ⅳ. 응용프로그램방식보안서버구축하기 [!--- login.php ----] [? $iv = mcrypt_create_iv(mcrypt_get_iv_size(mcrypt_rijnda EL_256, MCRYPT_MODE_ECB), MCRYPT_RAND); $valid_user = mcrypt_decrypt(mcrypt_rijndael_256, "jdn g5jfdpfe519f2dkdh3kdhabc35dfc4", $username, MCRYPT_MOD E_ECB, $iv); echo ("$valid_user 님이접속하셨습니다. );?] 이처럼쿠키를암호화하여전송하면쿠키를통한개인정보의유출을막을수있습니다. 보안서버구축안내서 123

138

139 Ⅴ. 웹호스팅업체의보안서버구축하기 1. 보안서버구축절차 2. 보안서버구축전확인사항체크 3. 웹호스팅서비스제공업체의고려사항 4. 보안서버구축상태확인

140 보안서버구축안내서 Ⅴ. 웹호스팅업체의보안서버구축하기 1. 보안서버구축절차 단독서버가아닌웹호스팅서비스를받고있는사이트의경우, 직접웹서버를수정할권한을가지고있지않으며, 보안서버구축을위한기술력을갖추지않은경우가대부분이기때문에웹호스팅서비스제공업체와의협의를통하여보안서버를구축하게될것입니다. 따라서원활한보안서버구축을위하여본격적인구축이전에확인할사항과보안서버구축이후에암호화적용여부를확인할수있는방법을중심으로설명하고자합니다. 그리고웹호스팅서비스제공업체또한고객사에서보안서버구축을요청할경우서버환경과서비스제공가능성확인등고려해야할사항을정리하였습니다. 보안서버구축은각업체마다구체적인환경에따라달라지지만, 일반적으로다음과같은절차를따르게됩니다. 이번가이드에서는웹호스팅업체들이주로사용하고있는 SSL 방식의보안서버구축방법을알아보고, 향후응용프로그램방식의보안서버구축방법을가이드에추가하도록하겠습니다. 126 보안서버구축안내서

141 Ⅴ. 웹호스팅업체의보안서버구축하기 보안서버구축완료및확인방법 그림 5-1 웹호스팅업체의보안서버구축절차 2. 보안서버구축전확인사항체크 2.1 보안서버구축지원방식확인 웹호스팅서비스를제공하는업체가보안서버구축서비스를어떠한방식으로제공하는지를가장먼저확인해야합니다. 일부웹호스팅업체의경우웹호스팅환경에가장적합한멀티도메인 SSL 인증서를이용하거나응용프로그램방식을이용하여보안서버구축환경을갖추는등웹호스팅도메인에대한보안서버구축을지원하고있습니다. 또는각도메인에발급되는단일 SSL 인증서를이용한보안서버구축을지원하기도합니다. 따라서사전에웹호스팅서비스제공업체가보안서버구축서비스를어떠한형태로제공하는지확인한후, 사전협의를거쳐보안서버구축방식과절차를결정하시기바랍니다. 보안서버구축안내서 127

142 보안서버구축안내서 2.2 발급도메인에대한정보확인 보안서버인증서발급시사전정보를확인하는절차로인증서를신청하는업체마다필요로하는정보가다를수있으니미리확인하시기바랍니다. 1 보안서버인증서신청정보확인보안서버인증서를신청하기전에사업자정보의주소나연락처등을현재운영중인내용으로수정하여주시기바랍니다. 정보확인은사용중인 URL 확인과실제서비스를하고있는업체를구별하여유령회사나그와유사한업체를사칭하여인터넷을이용한범죄행위를방지하기위한방법입니다. 2 신청사도메인정보확인도메인소유확인을통해확인한회사명과소유자의사업자등록증상의회사명과동일한지확인합니다. 동일하지않다면소유한도메인정보를변경하여야합니다. 일부인증기관의경우신청사도메인의등록정보와신청사의웹서버정보가다를경우인증서발급이되지않을수있으니사전에확인하여야합니다. 인증서를신청하기위해서는기본적으로도메인을소유하고있어야합니다. 또한인증서는웹서비스의실재성, 즉도메인소유자가직접서비스를운영하는지, 운영자가실존하는단체나회사인지를확인하여발급됩니다. WHOIS 를통해보안서버인증서신청도메인명에대한소유권을미리확인하기바랍니다. 3 신청사권한확인인증기관은보안서버인증서를발행하기전에인증서신청업체가등록요청에지정한이름으로사업을할수있는법적권한이있는지여부를확인합니다. 확인절차및방법은인증기관이요구하는절차에따라진행하시면됩니다.( 예 : 사업자등록증, 대표자의신분증사본, 전화번호영수증등의발송요구 ) 128 보안서버구축안내서

143 Ⅴ. 웹호스팅업체의보안서버구축하기 경우에따라서인증기관의확인절차중영문사업자등록증을제출해야경우가있습니다. 영문사업자등록증의경우관할세무서를방문하시면발급이가능합니다. 관할세무서에대한정보는국세청홈페이지 ( 에서확인할수있습니다. 2.3 CSR 생성및보안서버적용 그림 5-2 WHOIS 를통한도메인정보확인 CSR 생성및보안서버적용에대한구체적인절차는 Ⅲ장 SSL 방식보안서버구축하기 내용을참고하여작업하시기바랍니다. 보안서버구축안내서 129

144 보안서버구축안내서 3. 웹호스팅서비스제공업체의고려사항 웹호스팅서비스를이용하고있는고객사로부터보안서버구축에대한의뢰가들어오면웹호스팅서비스제공업체는다음과같은사항들을고려하여보안서버를구축해야합니다. 3.1 서비스제공서버에서개별인스턴스로서비스가가능한지여부 1 서버가 IIS 계열인경우웹호스팅서비스제공시하나의서버에서호스트헤더분리를사용하여여러도메인을서비스할경우, 평문통신을위한 80 포트에서는다중인스턴스로운영이가능하지만암호화통신을위한 443 포트는호스트헤더를지원하지않기때문에다중인스턴스운영이불가능합니다. 따라서한개의서버에서여러도메인을서비스할경우에는인증서서비스가필요한사이트를개별인스턴스로분리하여야합니다. 하나의 VirtualHost 에하나의독립적인 IP를제공하는 IP-based 가상호스팅방식이나한대의서버에서하나의 IP를가지고다수의도메인을운영할수있게해주는 Name-based 가상호스팅방식을통하여개별인스턴스로분리하고다수의도메인를인증할수있는 SSL 인증서나응용프로그램방식의보안서버를구축해야합니다. 2 서버가 Apache 계열인경우 Apache 서버에서는 VirtualHost를한개의개별인스턴스로인식합니다. Apache 서버는일반적으로 VirtualHost를사용하여여러도메인을서비스하고있기때문에큰무리없이진행할수있습니다. 130 보안서버구축안내서

145 Ⅴ. 웹호스팅업체의보안서버구축하기 3.2 SSL 보안포트서비스가능여부 일반적으로한개의 IP에서는 SSL을위한보안포트가중복되어사용할수없습니다. 따라서한대의서버에서여러도메인에대한 SSL 보안을서비스하려면보안서비스를제공하는도메인수만큼의보안포트의확보가필요합니다. 다만, 멀티도메인 SSL 인증서를사용하면한개의 IP에서보안포트를중복하여사용할수있습니다. 보다자세한내용은 부록 B. 멀티도메인 SSL 인증서소개 내용을참조하시기바랍니다. 보안포트가확보되면각보안포트에대해서는방화벽등의보안장비에서각보안포트에대해서접근허용정책을추가해야합니다. 이는각서비스업체의보안정책과관련된사항이므로사전에충분히검토하시기바랍니다. 3.3 SSL 서비스가능여부 1 서버가 IIS 계열인경우 IIS 계열은기본적으로모두 SSL 서비스를제공하도록구성되어있습니다. 2 서버가 Apache 계열인경우 Apache 서버에서 SSL 서비스를제공하기위해서는반드시 mod_ssl이설치되어있어야서비스제공이가능합니다. 현재서비스중인 Apache 서버에 mod_ssl 이설치되어있는지를 httpd -l 옵션을사용하여 mod_ssl.c 또는 mod_ssl.so 가있는지확인하고, 만일 mod_ssl이설치되어있지않다면 Ⅲ장 SSL 방식보안서버구축하기중 Apache 서버에서보안서버구축하기 를참고하여설치하시기바랍니다. 보안서버구축안내서 131

146 보안서버구축안내서 그림 5-3 mod_ssl 설치확인화면 3.4 인증서신청하기 SSL 방식의보안서버인증서는인증서의소유가호스팅업체가아닌사이트운영자가소유하게됩니다. 따라서인증서를신청을하실경우에는서버를소유하거나운영대행하는업체의정보가아닌실제도메인을소유하고서비스를제공하는주체의정보가필요합니다. 1 CSR 생성시입력정보모든정보는영문으로입력하셔야하며특수문자를사용하시면안됩니다. CN= 운영중인 URL OU( 조직구성단위 )= 영문부서명 O( 조직명 )= 도메인을소유하고서비스를제공하는회사의영문전체이름 L( 구 / 군 )= 도메인을소유하고서비스를제공하는회사의위치 S( 시 / 도 )= 도메인을소유하고서비스를제공하는회사의위치 C( 국가코드 )=KR( 대한민국인경우 ) 2 준비서류공통적으로도메인을소유하고서비스를제공하는회사의사업자등록증을준비해야하며, 인증기관에따라서도메인소유에대한확인절차및전화확인절차가있는경우가있습니다. 이런경우에는추가적인서류가필요할수있습니다.( 예 : 도메인소유확인증, 전화번호영수증, 영문사업자등록증등 ) 132 보안서버구축안내서

147 Ⅴ. 웹호스팅업체의보안서버구축하기 4. 보안서버구축상태확인 인증서설치가완료된후정상적으로인증서가발급되어동작되는지여부는다음과같은방법으로식별할수있습니다. 1 웹브라우저에도메인의 URL 의주소를 http 가아닌 https 를통해연결을시도합니다. 2 SSL 인증서버의경우기본적으로 80번포트가아닌보안포트를사용하게됩니다. https를이용하여접속하시면보안포트 ( 기본 443번 ) 로연결이되어별다른작업없이 SSL 인증서버를통한통신을하게됩니다. 3 화면아래에잠겨진자물쇠아이콘이있습니다. 보다자세한내용은 Ⅵ장웹페이지수정및적용확인하기 에서다루겠습니다. 자, 이제 SSL 인증서의설치가완료되었습니다. Ⅵ장으로이동하셔서실제웹페이지를어떻게수정해야하는지알아보겠습니다. 보안서버구축안내서 133

148

149 Ⅵ. 웹페이지수정및적용확인하기 1. 웹페이지수정방법및사례 2. 보안서버적용확인하기 3. 보안서버의보안취약성해결방안

150 보안서버구축안내서 Ⅵ. 웹페이지수정및적용확인하기 1. 웹페이지수정방법및사례 암호화통신을하기위해서보안프로토콜을호출하는방법은 OS나 Program 언어를가리지않고모두동일합니다. 그이유는암호화통신을하기위해적용하는부분이특정 OS나특정 Program 언어에의존하지않는, 모두가공통으로사용하는 HTML 언어이기때문입니다. 본절에서는암호화적용범위에따라웹페이지전체혹은일부를암호화하는방법과이용자가선별적으로암호화를선택하는방법을소개하겠습니다. 1.1 전체페이지암호화하기 1 https 프로토콜호출하기 https 프로토콜을호출하여웹페이지전체에적용하는방법은그림만으로도곧바로이해를할수있을정도로아주쉽습니다. 간단히호출하는프로토콜을 에서 로수정해주기만하면됩니다. < 그림 6-1> 과 < 그림 6-2> 는암호화통신을하기위해 https 프로토콜을호출하기전과호출한후의 HTML 소스코드예입니다. 그림 6-1 평문통신을위한 HTML 소스코드 136 보안서버구축안내서

151 Ⅵ. 웹페이지수정및적용확인하기 그림 6-2 https 프로토콜을호출하기위한 HTML 소스코드 2 리다이렉션 (Redirection) 설정앞서설명을하였듯이, 암호화통신을위해서는 https 프로토콜을직접호출을해줘야합니다. 하지만, 웹페이지에접속하는사용자들은일일이 https 프로토콜을붙여서입력을하지않습니다. 대부분의경우가 또는 test.co.kr 도메인을웹브라우저의주소창에입력하고접속하는경우가대부분일것입니다. 이때웹브라우저에그냥도메인주소만입력하면, 웹브라우저는해당도메인앞에 가붙은것으로판단하고평문통신을하도록합니다. 평문통신을하는경우라면문제가없지만, 암호화통신을해야할경우에는 를직접붙여서입력해야하므로여간불편해하지않습니다. 리다이렉션은현재접속한도메인이나혹은웹페이지를강제로다른주소나다른페이지로변경해줌으로써사용자들의불편함을감소시켜주고자연스럽게암호화통신을할수있도록해주는기능입니다. 보안서버구축안내서 137

152 보안서버구축안내서 < 그림 6-3> 은 Apache 서버에서 Redirect 지시자를써서 또는 로들어온사용자를강제로 그림 6-3 Apache 서버에서의 Redirection 또다른방법으로는 OS나 Web Programming 언어의종류에상관없이모두공통적으로사용하는 HTML tag를이용한방법으로써, 어떤경우에서나적용이가능하기때문에가장많이이용되고있습니다. < 그림 6-4> 는웹페이지의 index.html에한줄의소스코드를추가함으로써 그림 6-4 HTML Tag 를이용한 Redirection 위와같이 Meta 태그를이용하는경우, 1초정도깜빡하는현상이나타나기때문에종종 Javascript를이용하기도합니다. Meta tag를이용한 html Redirection 방법과동일하게, 사용자들이익숙하게접속하는 index 페이지에삽입해두면, 사용자들이불편하게 라는 138 보안서버구축안내서

153 Ⅵ. 웹페이지수정및적용확인하기 프로토콜을특별히지정해주지않아도, 보안을위해서암호화통신이적용된 페이지별암호화하기 그림 6-5 Javascript 를이용한 Redirection 페이지별암호화는현재위치하고있는페이지에서다른페이지로이동할때, 보안을위해서암호화된전송을할것인지아니면평문전송할것인지를선택하여암호화하는것을말합니다. 부분적인페이지암호화를사용하는이유는암호화적용이필요없는부분까지암호화를하여서버의부하를증가시키는것을최대한줄일수있기때문입니다. 다음 < 그림 6-6> 은사이트의메뉴부분예입니다. 이중 서버관련강좌 & TIP 메뉴를클릭하여이동을하면 https가호출되어서버와클라이언트간의통신이암호화되어전송되고, Q&A 메뉴를클릭하여이동하면 http가호출되어서버와클라이언트간의통신이평문으로이루어지게하는방법을알아보겠습니다. 그림 6-6 페이지별암호화대상메뉴 < 그림 6-7> 은위메뉴부분의소스코드입니다. 밑줄부분중첫번째밑줄에해당하는부분이현재위치에서메뉴를클릭하여이동할때암호화전송을하도록하게끔설정된것이고, 두번째밑줄은현재위치에서메뉴를클릭하여이동할때평문전송을하도록설정된것입니다. 보안서버구축안내서 139

154 보안서버구축안내서 그림 6-7 페이지별암호화대상메뉴의소스코드 이렇게페이지별로암호화가적용된사이트를방문해보면, < 그림 6-8> 과같은경고창을만나게되는경우가있습니다. 그림 6-8 SSL이적용된페이지의경고창이경고창이뜨는것은암호화통신을유지하기위해서는웹페이지내의모든 URL의호출이 로이루어져야하나, 즉평문통신을위한웹페이지 URL이포함되어있다는것을의미합니다. 이런경고창이발생하는웹페이지속성을보면 < 그림 6-9> 처럼 암호화안됨 이라고해서마치암호화가되지않은평문상태로데이터가전송되어지는것처럼생각되지만웹페이지간전송되는데이터를볼수있는 third-parth 툴을이용해서확인해보면, < 그림 6-10> 와같이암호화통신이이루어지고있다는것을알수있습니다. 140 보안서버구축안내서

155 Ⅵ. 웹페이지수정및적용확인하기 그림 6-9 http 평문통신주소가호출되는웹페이지의속성 그림 6-10 https 를통한암호화통신 < 그림 6-11> 은 < 그림 6-10> 의결과와비교하기위해서암호화되지않은평문통신 (http) 상태를나타낸그림입니다. 그림 6-11 http 를통한평문통신 하지만 < 그림 6-8> 과같이경고창이발생하게되면, 상세한내용을모르고웹사이트에접속하는사용자들에게보안이되고있지않다는불신을줄수도있고, 또한계속적인경고창으 보안서버구축안내서 141

156 보안서버구축안내서 로인해서불편해할수있으므로가급적발생하지않도록웹페이지내의모든 URL을 로바꿔주는것이좋습니다. 만일절대경로로호출하는것이아니라, 상대경로로호출하는것이라면소스를변경하지않아도됩니다. 참고 : 절대경로와상대경로절대경로호출과상대경로호출이란무엇인가? 절대경로란내가열어보고자혹은내가가고자하는웹페이지의경로를전체적으로기술하는것이고, 상대경로란내가현재있는위치를기준으로내가열어보고자혹은내가가고자하는웹페이지의경로를기술하는것을말한다. 아래그림에서첫번째밑줄그은부분이상대경로로호출하는경우이고, 두번째밑줄그은부분이절대경로로호출하는경우이다. 첫번째의경우에는 https 암호화통신을하더라도소스코드수정이필요없는부분이고, 두번째의경우에는 https 암호화통신을할경우호출 URL을 http에서 https로바꿔줘야한다. 만일바꿔주지않을경우에는 < 그림 6-8> 과같이경고창이뜨게된다. 1.3 프레임별암호화하기 SSL을이용한보안포트 (443) 를웹페이지에적용하는방법을앞서소개하였습니다. 단순히 http를 https로만바꾸어주면보안포트를이용해서암호화통신을할수있었습니다. 하지만, 프레임이삽입된웹페이지의경우에는약간적용하는방식이다르기때문에소개하 142 보안서버구축안내서

157 Ⅵ. 웹페이지수정및적용확인하기 고자합니다. 프레임이적용된페이지를이용하면암호화된페이지와비암호화된페이지를각각적용시킬수있습니다. 적용시나리오는 < 그림 6-12> 과같이웹페이지 (index.html) 에프레임으로두개의페이지 topmenu.htm과 main.htm을불러오는소스코드가있을때소스코드의 URL을 < 그림 6-13> 와 < 그림 6-14> 처럼변경하고웹브라우저에서 http와 https로각각호출했을때의결과를살펴보고자합니다. 그림 6-12 프레임이포함된웹페이지 보안서버구축안내서 143

158 보안서버구축안내서 그림 6-13 topmenu.htm 을 https 로호출하기 그림 6-14 topmenu.htm 과 main.htm 을 https 로호출하기 144 보안서버구축안내서

159 Ⅵ. 웹페이지수정및적용확인하기 1 비암호화통신 (http) 를이용해서호출하기 < 그림 6-15> 는 topmenu.htm과 main.htm을모두 < 그림 6-12> 의소스를이용해서호출한경우입니다. 이경우에는모든정보가암호화되지않고 < 그림 6-16> 과같이그대로노출됩니다. 그림 6-15 비암호화된페이지호출하기 그림 6-16 HTTP 호출시 80 포트모니터링결과 보안서버구축안내서 145

160 보안서버구축안내서 다음으로는 < 그림 6-13> 의소스코드를적용하여 topmenu.htm만을 https로호출을하는경우입니다. 그림 6-17 topmenu.htm만암호화하여호출하기프레임을이용해서호출하는경우에는아래 < 그림 6-18> 과같이암호화되지않는 index.html ( 네모박스 ) 의내용과 main.htm의내용만이 80 포트로텍스트전송되는것을확인할수있습니다. topmenu.htm의내용은암호화전송되기때문에평문전송되는 80 포트에서는내용을알수없습니다. < 그림 6-18> topmenu.htm 의내용만암호화된모니터링결과 146 보안서버구축안내서

161 Ⅵ. 웹페이지수정및적용확인하기 마지막으로 < 그림 6-14> 와같이, 호출하는 index.html을제외하고모든프레임내의호출페이지를 https를통해서호출하게될경우에는아래와같이 index.html의내용만평문으로전송이되고, 나머지 topmenu.htm과 main.htm은암호화되어서전송됩니다. 그림 6-19 topmenu.htm 과 main.htm 을 https 로호출하기 그림 6-20 index.html 의내용만모니터링된결과 보안서버구축안내서 147

162 보안서버구축안내서 2 암호화통신 (https) 을이용해서호출하기앞에서와같은절차를이용해서 https를이용해서 < 그림 6-11> 과같이호출을하게되면, 프레임을포함하고있는 index.html은 URL을 https로호출을하게되므로, 항상암호화가되어지고, topmenu.htm과 main.htm은 < 그림 6-12>,< 그림 6-13>,< 그림 6-14> 와같이암호화적용여부에따라서, 평문통신또는암호화통신이이루어집니다. 그림 6-21 https 를이용한호출 그림 6-22 https 호출시 80 포트모니터링결과 148 보안서버구축안내서

163 Ⅵ. 웹페이지수정및적용확인하기 < 그림 6-22> 를보면, 웹브라우저에서 https를통해서호출한 index.html의내용은암호화되어통신이이루어지기때문에 80 포트를모니터링하였을경우에그내용이보이지않지만, index.html 안에있는프레임을통해서 http로호출한 topmenu.htm과 main.htm은 https 통신을통해서 index.html을호출했지만, 평문으로통신이되는것을확인할수있습니다. < 그림 6-13>, < 그림 6-14> 의소스를같은방법으로테스트해보면, http 로호출된웹페이지는암호화통신이이루어지지않고있는것을알수있습니다. 이와같이프레임을이용하면, 필요에따라서한페이지에서암호화가제공되는부분과암호화가제공되지않는부분이공존할수있도록구성할수있지만, 앞서서도이미언급했듯이아무리웹브라우저에서 https를이용해서호출을했어도프레임으로불러오는페이지가 http 주소를가지고있을경우에는암호화가되지않고정보의노출이발생할수있으므로, 프레임이사용되는페이지를암호화를위해서 https 로호출하고자할때에는꼭확인을해보시기바랍니다. 1.4 체크박스를이용한선별적암호화하기 웹페이지전체를암호화하지않고선별적으로암호화하는경우, 정보입력시보안접속을체크함으로써프로토콜을호출하는방법이있습니다. 그러나 http 통신과 https 통신이혼용되는경우, 통신과정상의취약점으로인해해킹의공격대상이될수있으므로보안접속을기본으로사용할것을권고합니다. 또한보안접속을통하여암호화하는것을이용자에게알리고자하는목적으로사용한다면체크박스해제를선택하지못하도록조치할것을권고합니다. 다음은로그인박스에서선별적으로암호화된통신을하기위한 HTML 소스코드의예입니다. 보안서버구축안내서 149

164 보안서버구축안내서 * 소스코드 * 소스코드 <script language="javascript"> <!-- function checkloginform1() { var f = document.forms["loginform1"]; // 아이디입력검사 if( f.memberid.value=="" ){ alert(" 아이디를입력하세요 "); f.memberid.focus(); return false; } // 비밀번호입력검사 if( f.memberpw.value=="" ){ alert(" 비밀번호를입력하세요 "); f.memberpw.focus(); return false; } // 액션 f.action = " <script language="javascript"> <!-- function checkloginform2() { var f = document.forms["loginform2"]; // 아이디입력검사 if( f.memberid.value=="" ){ alert(" 아이디를입력하세요 "); f.memberid.focus(); return false; } // 비밀번호입력검사 if( f.memberpw.value=="" ){ alert(" 비밀번호를입력하세요 "); f.memberpw.focus(); return false; } // 액션 if ( f.ssl_login.checked ) { // 보안접속체크판별 // 보안접속을체크했을때의액션 f.action = " "; } else { // 보안접속을체크하지않았을때의액션 150 보안서버구축안내서

165 Ⅵ. 웹페이지수정및적용확인하기 return true; } //--> < /script> < form name="loginform1" method="post" onsubmit="return checkloginform1();"> < table> <tr> <td> 아이디 </td> <td><input type="text" name="memberid"></td> <td> </td> </tr> <tr> <td> 비밀번호 </td> <td><input type="password" name="memberpw"></td> <td><input type="submit" name="submit" value=" 로그인 "></td> </tr> < /table> < /form> f.action = " ; } return true; } //--> </script> <form name="loginform2" method="post" onsubmit="return checkloginform2();"> <table> <tr> <td> 아이디 </td> <td><input type="text" name="memberid"></td> <td><input type="checkbox" value=1 checkedname="ssl_login" > 보안접속 </td> </tr> <tr> <td> 비밀번호 </td> <td><input type="password" name="memberpw"></td> <td><input type="submit" name="submit" value=" 로그인 "></td> </tr> </table> </form> SSL 을이용한암호화된폼전송을하려면, action URL 에서 'http' 대신 'https' 를적어주면됩니다. < 그림 6-23> 로그인시보안접속체크박스를이용하기위한 HTML 소스코드 보안서버구축안내서 151

166 보안서버구축안내서 2. 보안서버적용확인하기 2.1 보안서버적용확인방법 앞에서암호화통신을위해서보안프로토콜을적용하는방법을알아보았습니다. 본절에서는앞서적용한보안프로토콜이제대로적용이되었는지확인하는방법에대해서알아보겠습니다. 1 패킷캡쳐를통한확인일단제대로암호화가되어지고있는지패킷을캡쳐하여확인하는방법입니다. < 그림 6-24> 는일반적인 http를통한평문통신의경우를캡쳐한것입니다. 네모상자를확인하면 header의내용이평문으로보이는것을확인할수있습니다. 그림 6-24 평문통신패킷확인결과 < 그림 6-25> 를보면 https 에접속요청을한것을확인할수가있으며, 네모상자를확인하면동일구간이지만 header의내용이암호화되어내용을알아볼수없게되었음을알수있습니다. 즉, 암호화통신이정상적으로이루어진다는것을의미합니다. 152 보안서버구축안내서

167 Ⅵ. 웹페이지수정및적용확인하기 그림 6-25 암호화된통신패킷확인결과 2 웹페이지에서확인직접패킷을캡쳐해서확인하는방법외에도, 웹페이지에서간단히암호화가되어지고있는지를확인하는방법이있습니다. SSL이적용된웹사이트에 https 프로토콜로접속을했을경우에, < 그림 6-26> 과같이브라우저하단에자물쇠모양의표시가나타나는것을확인할수있을것입니다. 현재사이트와의통신이암호화되어진행되고있다는것을보여주는것입니다. 웹사이트구성방법에따라자물쇠이미지가보이지않을수있으며, 구축방법에따라모양은다르게나타날수있습니다. 그림 6-26 암호화통신이이루어지고있음을보여주는자물쇠이미지 3 호출시포트번호확인 https를이용하여접속하시면일반적으로 443번포트로연결이되어 SSL 인증서버를통한통신을하게됩니다. 보안서버구축안내서 153

168 보안서버구축안내서 서버에여러개의인증서버를설치할경우상황에따라 443번포트가아닌여러가지포트를이용해서접속을하는상황이발생할수있습니다. 이런경우설치를대행하는업체나호스팅업체에서임의의포트를지정하거나사용할포트를지정받아 SSL 인증서를설치한뒤작업완료통보와함께사용된포트번호를알려주게됩니다. 4 웹페이지속성보기를통한확인암호화를적용한웹페이지가정상적으로암호화되고있는지는웹페이지에서오른쪽마우스를클릭하고속성을선택한후웹페이지등록정보를통하여확인할수가있습니다. 현재페이지가보안이되고있다면 < 그림 6-27> 와같은웹페이지속성을확인할수있습니다. 그림 6-27 보안이적용된웹페이지등록정보 154 보안서버구축안내서

169 Ⅵ. 웹페이지수정및적용확인하기 2.2 인증서의암호화상태확인방법 접속한웹페이지가암호화되고있다는것을확인한후, 다음과같은단계를걸쳐서설치된인증서의암호화상태를확인할수있습니다. 1 웹페이지접속인증서가설치된웹페이지에접속하십시오. 그림 6-28 보안이적용된웹페이지접속 브라우저하단에있는자물쇠아이콘에마우스를올리면암호화방식에대한확인이가능합니다. < 그림 6-29> 자물쇠이미지를통한암호화방식확인 보안서버구축안내서 155

170 보안서버구축안내서 2 인증서기본정보확인설치된인증서의정보를확인하려면자물쇠아이콘을더블클릭하거나브라우저에서마우스오른쪽버튼을클릭하시면등록정보창이열리게됩니다. 등록정보창하단에인증서버튼을선택하여인증서창을열면설치된인증서에대한정보를확인할수있습니다. 그림 6-30 보안이적용된웹페이지의등록정보중인증서버튼 156 보안서버구축안내서

171 Ⅵ. 웹페이지수정및적용확인하기 그림 6-31 보안이적용된웹페이지의인증서기본정보확인 3 인증서상세정보확인발급대상, 발급자정보, 발급된인증서의유효기간등기본적인인증서정보를확인하실수있고, 보다자세한인증서관련정보를확인하고자한다면 자세히 탭을선택하면됩니다. 보안서버구축안내서 157

172 보안서버구축안내서 그림 6-32 보안이적용된웹페이지의인증서상세정보확인 158 보안서버구축안내서

173 Ⅵ. 웹페이지수정및적용확인하기 3. 보안서버의보안취약성해결방안 3.1 보안서버의알려진취약성확인방법 1 는운영체제, 보안제품등각소프트웨어의취약성을데이터베이스형식으로발표하는사이트입니다. 보안서버구축안내서 159

174 보안서버구축안내서 2 서버관리자는 Advanced Search를통하여취약성주제, 키워드, 보고날짜, 해결날짜등과같은정보로알려진취약성들을검색할수있습니다. 3 Advanced Search 의검색결과는다음그림과같이보고된날짜별로정렬되어나타납니다. 160 보안서버구축안내서

175 Ⅵ. 웹페이지수정및적용확인하기 4 검색결과에서열람하고싶은취약성링크를클릭하면해당취약성의개요와보고날짜및해결날짜, 위험도, 해결방법등을볼수있습니다. 3.2 보안서버의알려진취약성해결방법 Reference to Advisories, Solution, and Tools 부분을참고하면됩니다. 이부분에는해당취약성에관련된제품개발회사및보안관련사이트들이링크되어있습니다. 아래와같이링크를통하여관련제품개발회사사이트를방문하면해당취약성에대한내용과해결방안등을볼수있습니다. 보안서버구축안내서 161

176 보안서버구축안내서 각제품개발회사사이트에서는같이다음과같이보안패치등을제공하고있으므로다운로드받아보안서버에적용하면됩니다. 162 보안서버구축안내서

177 Ⅶ. 보안서버관련 FAQ 1. 제도관련 2. 구축범위관련 3. 호스팅관련 4. 적용관련 5. 기타

178 보안서버구축안내서 Ⅶ. 보안서버관련 FAQ 1. 제도관련 1) 한국인터넷진흥원 (KISA) 은어떤기관인가요? 방송통신위원회산하기관으로 정보통신망이용촉진및정보보호등에관한법률 에의해인터넷상의개인정보보호업무등을맡고있으며, 웹사이트회원가입등을통한개인정보수집에따른실태조사및보호조치가미흡한사업자에대한개선권고업무등을담당하고있습니다. 2) 보안서버는무엇이고, 구축하지않으면어떻게되나요? 보안서버란, 인터넷상에서개인정보를암호화하여송수신하는기능이구축된웹사이트를말하며, 하드웨어를설치하는것이아니라이미사용하고있는웹서버에인증서나암호화소프트웨어를설치하여암호통신이가능한것입니다. 정보통신망이용촉진및정보보호등에관한법률 에의해개인정보를수집하는웹사이트에보안서버가구축되지않은경우 1천만원이하의벌금등행정조치가있을수있습니다. 3) 보안서버구축이의무인가요? 관련법조항이뭔가요? 개인정보를취급하는영리목적의사업자는필수적으로보안서버를구축해야합니다. 관련법률은이미 2005년부터시행중이며 정보통신망이용촉진및정보보호등에관한법률 제28조 ( 개인정보의보호조치 ) 와제76조 ( 벌금 ) 등에명시되어있습니다. 실제법조항은본가이드의 I장내용중보안서버관련규정이나보안서버안내홈페이지 ( 보안서버안내 ) 를참조하시고, 전체법조항이필요하신경우는방송통신위원회또는법제처홈페이지를참조하시기바랍니다. 164 보안서버구축안내서

179 Ⅶ. 보안서버관련 FAQ 4) 정확히언제까지구축해야하는건가요? 관련법규는 2005년부터이미시행중이며, 매년모니터링을통한사이트점검결과에따라시정명령과과태료부과등행정조치가있을예정이기때문에빠른시일내에구축을완료하셔야합니다. 구축계획일정과구축결과에대해사무국 ( 으로알려주시기바랍니다. 5) 지금까지는규제하지않다가왜이제와서이러는겁니까? 05년법개정후사업자들의자율구축을유도하였으나구축이의무조항이라는사실을많이인지하지못해서활성화가되지못하고있었습니다. 금년에는직접사업자들을대상으로홍보및계도를실시한후본격적으로행정조치를시행할예정입니다. 6) 이미구축을완료했는데, 확인도안하고계도메일을보내는건정부기관의행정처리가너무미흡한것아닙니까? 수신메일정보는웹사이트를통해확인가능한주소로일괄발송되었으며, 방대한수의온라인사이트를대상으로사업을진행하다보니기구축사이트가메일이포함된경우가있습니다. 이경우보안서버자진등록홈페이지 ( 보안서버안내 보안서버자진등록 ) 에보안서버가구축되었음을신고하여주시면됩니다. 그리고, 계열사및관계사, 추후신규사업운영시에참조하시라는의미로받아주시면감사하겠습니다. 2. 구축범위관련 7) 웹사이트에서보안서버구축범위는정확하게어디입니까? 기본적으로보안서버가구축되어야할곳은웹페이지와서버간에개인정보가전송또는호출되는구간이발생하는곳에암호화가되어야합니다. 즉, 어떠한형식이든개인정보를웹페이지와서버간에서로전송이되거나호출이된다면보안서버가적용이되어야합니다. 보안서버관련 FAQ 보안서버구축안내서 165

180 보안서버구축안내서 통상적인웹사이트를기준으로예를들어보면다음과같습니다. 1. 개인정보가입력되는페이지 ( 회원가입, 로그인, 게시판, 상담, 주문, 견적, 결제, 견적, 고객문의, Q&A 등 ) 2. 개인정보가보여지는화면 ( 개인정보확인및수정화면등 ) 3. 개인정보가직접적으로보이지않더라도웹페이지와서버간에개인정보가전송되는경우 ( 실명확인등 ) 8) 암호화되어야하는개인정보의범위는어디까지입니까? 개인정보 라함은생존하는개인에관한정보로서성명 주민등록번호등에의하여당해개인을알아볼수있는부호 문자 음성 음향및영상등의정보 ( 당해정보만으로는특정개인을알아볼수없는경우에도다른정보와용이하게결합하여알아볼수있는것을포함한다 ) 를말합니다. 대표적인예로는로그인시아이디 / 패스워드, 회원가입시주민번호, 인터넷뱅킹이용시계좌번호 / 계좌비밀번호등이해당됩니다. 또한게시판등에서성명, 이메일, 연락처등을동시에수집한다면개인을식별할수있는정보로서개인정보수집행위에해당한다고볼수있습니다. 이러한경우해당게시판은보안서버구축대상이될수있습니다. 9) 저희사이트는전체계열사의회원정보를한곳에서관리하는통합로그인정책에따라운영되기때문에개인정보를보유하고있지않습니다. 저희도대상인가요? 직접적인개인정보를보유하고있지않더라도회원인가여부를확인하거나, 로그인기능등개인정보및인증정보가전송되는구간이존재한다면보안서버구축대상이됩니다. 또한, 로그인외에개인정보의요구가있는경우는보안서버구축대상이됩니다. 예를들어, 통합로그인후게시판이용시개인정보를요구하는경우암호화를해야합니다. 166 보안서버구축안내서

181 Ⅶ. 보안서버관련 FAQ 3. 호스팅관련 10) 웹사이트관리를호스팅사에맡기고있는데, 보안서버구축도호스팅업체가해야하는거아닙니까? 보안서버구축의무는원칙적으로사이트를통해개인정보를수집하는사이트담당자에게귀속되나구축과관련된자세한사항은호스팅업체와상의해야합니다. 11) 웹호스팅을받고있는데호스팅사가보안서버지원을하지않는다고합니다. 어떻게해야하나요? 한국인터넷진흥원에의견제출을해주시기바랍니다. 12) 웹호스팅사를변경하는경우, 보안서버를새로구축해야하나요? 웹호스팅사가주로사용하는보안서버구축방식은멀티도메인 SSL 인증서를이용하는방법입니다. 이경우기존에사용하던인증서는폐기되며이전하는웹호스팅업체와협의하여보안서버를구축해야합니다. ( 부록 B. 참조 ) 단일인증서를사용하는경우다른서버로의이전이가능하기때문에추가구입은하지않아도됩니다. 그러나이경우이전하는웹호스팅사가보안서버구축을지원하는지반드시확인해야하며, 서버기종이변경되는경우인증서및개인키의호환이안되는경우가있으니반드시전문업체와사전협의후진행하시기바랍니다. 인증서를구입시유효기간동안은웹호스팅사를옮기더라도사용이가능합니다. 옮기는웹호스팅사에문의해서개인키와인증서백업받으셔서설정을요청하시기바랍니다. 그리고해당웹호스팅사에서보안서버구축을지원하는지미리확인하시기바랍니다. 요즘일부웹호스팅사는서비스차원에서무료로지원해주는곳도있습니다. 보안서버관련 FAQ 보안서버구축안내서 167

182 보안서버구축안내서 13) 저희는보안서버를기본적으로제공해주는호스팅사를이용하고있는데, 왜보안서버가구축되지않았다고하는거죠? 최근일부호스팅사의경우자체개발한보안서버를제공하거나, 저렴한가격으로제공해주는곳이있습니다. 이러한호스팅사를이용한다고자동적으로보안서버가적용되는것이아니라, 관리자모드등을통해보안서버적용설정을해줘야되는것으로알고있습니다. 또한, 보안서버는로그인, 회원가입등개인정보가처리되는페이지에모두설정되어있어야하는데, 경우에따라적용이누락되는페이지가발생하여보안서버미구축으로점검되는경우가있습니다. 따라서, 해당웹호스팅사에문의하여보안서버를적용하려면어떻게해야되는지, 적용이누락된페이지가있는지등을확인해보시기바랍니다. 4. 적용관련 14) 개인정보의입력값을넘길때만 https 로호출해서넘기는되는건가요? 즉, 개인정보를입력하는폼이있는페이지는 https 로안불러와도되는지요? 서버와클라이언트사이에개인정보가전송되는구간에서만암호화가이루어지면되는것이기때문에입력값을받는폼페이지까지 https로보여줄필요는없습니다. 개인정보입력된값이넘어갈때 https로호출해주시면됩니다. 15) 보안서버인증서만웹사이트에깔면암호화전송이되나요? 보안인증서를설치하게되면 형태로통신을하게됩니다. 그러나, 일반이용자들은보통 또는단순히 www. 형태로접속을하게됩니다. 형태로접속하게되면평문통신이되어개인정보를암호화전송하지못합니다. 168 보안서버구축안내서

183 Ⅶ. 보안서버관련 FAQ 따라서일반이용자들이 또는 방식으로접속하더라도 로접속될수있도록귀사의웹사이트경로를재설정하여야합니다. 예 : abc.co.kr 예와같이접속방식은다양할수있으므로, 어떤방식으로접속을하더라도보안서버가적용될수있도록접속경로를수정하여구현하면됩니다. 경로설정 ( 리다이렉션 ) 방법에대한사항은보안서버전문구축업체에문의하시거나, 또는통합실태점검사무국홈페이지의 ' 보안서버구축가이드 ' 를참고하시기바랍니다. 16) 보안서버경고창발생은어떻게제거하나요? 보안서버를전체사이트에걸지않고개인정보가처리되는페이지만각각적용할경우에해당웹페이지내의 URL중 https로호출하지않는 URL이존재하기때문입니다. 경고창이발생한다고하여암호화전송이되지않는것은아니나, 경고창이발생하면이용자입장에서마치암호화되지않는것처럼오인할수있기때문에가급적경고창이발생하지않도록조치하시는것이신뢰성을제고하는데좋습니다. 경고창발생제거방법은저희홈페이지 (guide.kisa.or.kr) 의구축방법안내 -> 보안서버구축 -> 적용방법을참고하시기바랍니다. 17) 보안서버적용으로사이트속도가저하되는경우 (SSL 가속기안내 ) 간혹보안서버를웹사이트전체에거는경우에상당히웹사이트에부하를주는문제가발생하고있으나, 일반적으로개인정보가처리되는페이지에만적용하는경우에는크게속도에지장을주고있지않은것으로알고있습니다. 그러나, 혹시이정도의속도에도사이트운영에불편을느끼신다면, SSL 가속기를한번사용해보시기바랍니다. 보안서버관련 FAQ [ 보안서버구축가이드 ] 159 페이지에보시면 SSL 가속기에대한설명이있습니다. 참고하여주세요. 보안서버구축안내서 169

184 보안서버구축안내서 18) 공인된인증기관의인증서를사용하지않고자체적으로 SSL 인증서를발급하여사용해도됩니까? 자체적으로 SSL 인증서를생성하여설치해도사용자의선택에따라암호화는이루어집니다. 그러나사용자의웹브라우저에서보안경고창이발생하게되는데익스플로러 6.0이하에서는단순히 ' 신뢰할수없는기관에서발급한인증서 ' 라는팝업창이뜨지만, 익스플로러 7.0에서는암호화이후에도주소창이계속적색으로표시되어사용자에게웹사이트의신뢰성에대해경고를하게됩니다. 또한익스플로러이외의웹브라우저사용자는 ' 피싱의도가있는사이트 ' 라는더심각한경고문구를접하게됩니다. SSL인증서의용도가암호화이외에해당웹사이트의실체인증이라는주요기능이있으므로가능하면웹브라우저의 CTL( 인증서신뢰목록 ) 에탑재된상용 SSL 인증서를사용하실것을권고드립니다. 시중에는저렴한 SSL 인증서도있고공인인증기관에서는국산 SSL 인증서도발급할수있는상태이므로충분한검토후에적용하시기바랍니다. ( 국산인증서발급기관 : 한국전자인증, 한국정보인증, 한국무역정보통신 ) 5. 기타 19) 보안서버를구축하려면누구에게연락해야하나요? 보안서버구축전문업체와상의하시면되며, Ⅱ장 2절보안서버구축전문업체 내용또는보안서버전문협의회홈페이지 ( 를참조하시기바랍니다. 이외에평소에알고있던보안서버구축전문업체를이용하셔도됩니다. 170 보안서버구축안내서

185 Ⅶ. 보안서버관련 FAQ 20) 구축업체를소개해줄수는없습니까? 저희는특정업체를소개해드릴수는없습니다. 본가이드본문에포함된보안서버구축전문업체연락처를참고하시거나이외의보안서버구축전문업체를통해문의해주시기바랍니다. 21) 만약더이상개인정보를수집하지않으면어떻게됩니까? 법률적용대상이되지않기때문에보안서버구축이필요없으며, 운영상불필요한개인정보수집은하지않는것이바람직합니다. 다만이경우, 기존에수집된개인정보를폐기하고수집을중단하겠다는내용을명시하여이의신청서를사무국에송부하여주시기바랍니다. 22) 사이트를현재운영하지않거나혹은조만간폐쇄할예정입니다. 사이트폐쇄 또는 폐쇄예정 임을명시하여이의신청서를사무국에송부하여주시기바랍니다. 23) 보안서버를구축하려면비용이얼마나드나요? 보안서버구축방식과서비스범위등에따라금액의차이가크므로해당웹사이트에적합한보안서버구축을위한자세한내용은전문업체와상의하시기바랍니다. 24) SSL 인증서의경우동일한기술을이용하는데인증서의가격은왜차이가납니까? 인증서의가격은해당발급업체의신뢰성, 브랜드가치, 128비트강제암호화여부, 지원되는웹브라우저의종류및설치지원의정도등을고려하여책정되기때문에차이가나게됩니다. 25) 보안서버관련해서더자세한정보는없나요? 한국인터넷진흥원보안서버안내홈페이지 ( 보안서버안내 ) 를참조하시기바랍니다. 보안서버관련 FAQ 보안서버구축안내서 171

186 보안서버구축안내서 부록 SSL 가속기소개 1. SSL 가속기정의 웹브라우저회사인넷스케이프가만든 SSL(Secure Socket Layer) 은널리알려진바와같이암호화와복호화를통해데이터를전달하여안전한통신을가능하게하는기술입니다. SSL 가속기는웹서비스시스템의통신보안및신원확인, 부인방지등을위해 PKI 기반의인증서기반의보안프로토콜인 SSL을적용하면서비대칭키암호화연산에따른서버시스템의부하증가, 속도저하문제및서버키보호문제를해결하기위해출현하게되었습니다. 2. SSL 가속기의역할 대형포털사이트와같이트래픽이많으면서 SSL 방식의보안서버를운영하는사이트가 SSL을웹서버에서직접운영하게되면, 서버의부하가커지게되고사용자의응답시간이매우느려질수있습니다. SSL 가속기는 SSL 연결에따른모든암호화를서버로부터이관받아독립된장치에서전담함으로써서버의부하를감소시키고웹어플리케이션시스템의전체성능을향상시킬수있습니다. 또한 SSL 보안에사용되는서버의암호화키를 SSL 가속기에별도로저장함으로써암호화키유출에따른위험성을줄일수있습니다. 서버키가유출될경우 SSL 보안통신데이터가해킹될수있고허위사이트나피싱사이트에의한피해가발생할수있습니다. 그리고 SSL 인증서를구입하여웹서버대신웹가속기에설치가가능하기때문에기존에운영중인웹프로그램을수정할필요가없다는장점을가지고있습니다. 172 보안서버구축안내서

187 Ⅶ. 보안서버관련 FAQ 3. SSL 가속기의종류 1 1세대 SSL 가속기 PCI / SCSI 카드타입 SSL 가속기의첫번째세대는서비스를제공하는웹서버가작동하는하드웨어에직접적으로설치가되는 PCI나 SCSI 타입의카드형태의제품들입니다. PCI나 SCSI 카드타입의 SSL 가속기제품군은우선 SSL 핸드쉐이크과정을담당함으로써 CPU에부과되던높은부하를절감시켰으며설치구조상실제콘텐츠서비스를수행하는웹서버또는어플리케이션서버가작동하는하드웨어의슬롯에직접장착되기때문에 SSL 사용시보호되어야할클라이언트브라우저로부터웹서버본체까지의엔드투엔드 (end-to-end) 의완벽한보안이이루어집니다. 그러나이러한제품군에는치명적인단점이존재하는데하나는가속기설치시반드시시스템의중단이필요하다는것이고, 또하나는확장성의문제입니다. 카드타입의가속기는하나의가속기가하나의서버만을감당하는물리적인구성의한계때문에여러가지이유로인해서버의증설이요구되는경우서버증설숫자만큼가속기의추가구매또한필요하기때문입니다. 2 2세대 SSL 가속기 SSL 오프로더 1세대제품의문제점을개선하고나온 2세대 SSL 가속기는네트워크장비타입으로흔히 SSL 오프로더 (Offloader) 라고불리는제품군입니다. SSL 오프로더는기존의카드타입가속기들과달리하나의가속기가여러대의웹서버나애플리케이션서버를위한 SSL 가속기능을수행함으로기존 1세대제품군의확장성문제를보완했습니다. 웹서버나애플리케이션서버와분리된설치방법으로인해가속기드라이버와서버하드웨어충돌등으로인해발생할수있는문제의소지를없앴습니다. 그러나네트워크구성상가속기와서버사이에물리적인공백구간이있을수밖에없고브라우저가발생시킨암호화패킷은가속기에복호화되고클리어텍스트 (Clear Text) 로이구간을통과해서버에전달되기때문에실제클라이언트브라우저로부터서버까지의 보안서버구축안내서 173

188 보안서버구축안내서 엔드투엔드보안이불가능합니다. 또한일반적인인라인구성 (In-line Configuration) 의경우설치시서비스의일시적중단을피할수는없습니다. 몇가지단점에도불구하고최근에는단독장비제품형태의 2세대제품군이주류를이루어시장을선도하고있습니다. 또한 2세대제품군이가지는단점을보완한장비들도개발되고있습니다. 특히백엔드 (Back end) SSL 기능을통한엔드투엔드보안제공이나원암구성 (One-arm Configuration) 을통한서비스중단없는설치기능등을통해보다효과적으로 SSL 가속기를실제네트워크상에구현할수있는다양한방법들이나오고있습니다. 4. SSL 가속기구성방식 SSL 가속기를구성하는방식은서버환경과가속기의기능범위에따라다양합니다. L4스위치기능과웹 /SSL 가속을동시에담당하거나방화벽, L4/L7 SLB, 웹 /SSL 가속을동시에처리하는경우도있으나, 기존네트워크인프라에대한변경을최소화하면서가속기능만을활용하고자구성하는방식을소개하겠습니다. 그림 C-1 SSL 가속기구성방식 위그림은기존 L4 스위치에접속하는구성방식으로 L4스위치에서는웹트래픽을가속기로 Redirection되도록처리하고, 가속기에서는캐싱, TCP 멀티플렉싱, SSL 처리등을담당하게 174 보안서버구축안내서

189 Ⅶ. 보안서버관련 FAQ 됩니다. 웹 /SSL 가속기가장애시에는 L4 스위치에서자동으로 Bypass 처리하는방식입니다. 이외에도 L4 스위치기능과웹 /SSL 가속을동시에담당하거나방화벽, L4/L7 스위치기능을웹 /SSL 가속을동시에처리하는등다양한구성이가능하므로업체의서버환경과요구사항에따라적합한 SSL 가속기를구성할수있습니다. 참고문헌 1. SSL 프로토콜에대한이해, 퓨쳐시스템 2. 보안서버가속을위한 SSL 가속기솔루션, 어레이네트웍스코리아 3. SSL Accelerator for Secure Web Server, 엑스비전씨큐리티시스템 보안서버구축안내서 175