Tomcat Web Server SSL 설정방법 - Ver 1.0-2008. 6
개정이력 버전개정일개정내용 Ver 1.0 2008 년 6 월 Tomcat Web Server SSL 설명서최초작성 본문서는정보통신부 한국정보보호진흥원의 보안서버구축가이드 를참고하여작성되었습니다. 본문서내용의무단도용및사용을금합니다.
< 목차 > 1. 개인키및 CSR 생성방법 1 2. 보안서버인증서설치 3 가. 발급인증서확인하기 4 나. 인증서설치하기 4 (1) 체인인증서설치 4 (2) 웹서버인증서설치하기 5 다. 환경설정하기 5 3. 보안웹서버가동 6 4. 다른서버에 SSL 인증서와키복사하기 7
1. 개인키및 CSR 생성방법 Tomcat 은자바의 "keystore" 를이용하여인증서를설정하므로 Tomcat 으로 SSL 웹서버를운영하려는서버에 JDK(Java Development Kit) 1.4 버전이상의프로그램이먼저설치되어잇어야합니다. 1 JDK의 keytool" 프로그램을이용해서 "keystore" 를생성합니다. 해당하는모든입력은영문자와숫자만허용합니다. 예시를참조하세요. Country Code ( 국가코드 ) : KR Organizational Unit Name ( 부서명 ) : Digital Certificate Center Organization Name ( 회사명 ) : KFTC Full Host Name ( 인증받을도메인주소 ) : www.yessign.or.kr Locality Name (city) : GangNam State Name ( 시 / 도 ) : Seoul C: keystore>keytool -genkey -alias tomcatssl -keyalg RSA -keysize 1024 -keystore C: keystore tomcatsslkey keystore 암호를입력하십시오 :******** 새암호를다시입력하십시오 :******** 이름과성을입력하십시오. [Unknown]: www.yessign.or.kr [ 정확한도메인명을입력합니다 ] 조직단위이름을입력하십시오. [Unknown]: Digital Certificate Center 조직이름을입력하십시오. [Unknown]: KFTC 구 / 군 / 시이름을입력하십시오? [Unknown]: GangNam 시 / 도이름을입력하십시오. [Unknown]: Seoul 이조직의두자리국가코드를입력하십시오. [Unknown]: KR CN=www.yessign.or.kr, OU=Digital Certificate Center, O=KFTC, L=GangNam, ST=Seoul, C=KR 이 ( 가 ) 맞습니까? [ 아니오 ]: y <tomcatssl> 에대한키암호를입력하십시오. (keystore 암호와같은경우 Enter 를누르십시오 ): 2 keytool" 명령어를이용하여인증서요청파일 (CSR) 을생성합니다. C: keystore>keytool -certreq -keyalg RSA -alias tomcatssl -file certreq.csr -key store C: keystore tomcatsslkey keystore 암호를입력하십시오 :******** - 1 -
3 C:\keystore\certreq.csr" 파일이생성되었는지확인합니다. 4 yessign에 CSR 내용을제출합니다. - 생성한 CSR 파일을텍스트편집기에서열면아래와같은형식의내용으로되어있습니다. - yessign SSL 홈페이지 (https://www.yessign.or.kr/ssl/) 에접속하셔서인증서발급요청을하시고 CSR 입력부분에해당내용을복사해서붙여넣으셔서사용하시면됩니다. -----BEGIN CERTIFICATE REQUEST----- MIIBETCBvAIBADBXMQswCQYDVQQGEwJBVTETMBEGA1UECBMKU29tZS1TdGF0ZTEh... BrRh2nOTKgfMcT9h+1Xx0wNRQ9/SIGV1y3+3abNiJmJBWnJ8Bg== -----END CERTIFICATE REQUEST----- - 2 -
2. 보안서버인증서설치 SSL 웹서비스를제공하기위해서는보안서버인증서설치시에해당되는체인인증서를설치하여야합니다. 아래설치안내에따라서 보안서버인증서, 체인인증서 를모두웹서버에설치해야모든종류의웹브라우저에서서비스를문제없이제공할수있습니다. 보안서버인증서체인을웹서버에모두설치하기않으면, 웹브라우저에따라서는아래와같이보안경고창이발생할수있습니다. < Microsoft Internet Explorer 6.0 이하버전의경고창 > < Microsoft Internet Explorer 7.0 버전의경고화면 > - 3 -
가. 발급인증서확인하기 yessign SSL 홈페이지관리자로부터수신한이메일의첨부파일에는다음과같은 3종류의인증서가포함되어있습니다. - sslcert.cer : 발급된보안서버인증서 - sslca.cer : 보안서버체인인증서 - sslroot.cer : 보안서버루트인증서 나. 인증서설치하기 (1) 체인인증서설치 1 보안서버인증서인 sslcert.cer", sslca.cer", sslroot.cer" 파일을 FTP 등을이용하여웹서버에업로드합니다. 2 keytool 명령어로체인인증서 (sslca.cer) 파일을설치합니다. C: keystore>keytool -import -alias root -keystore C: keystore tomcatsslkey -trus tcacerts -file C: keystore sslca.cer keystore 암호를입력하십시오 :******** 소유자 : CN=yessignCA-SSL, OU=LicensedCA, O=yessign, C=kr 발급자 : CN=KISA RootCA 3, OU=Korea Certification Authority Central, O=KISA, C=KR...... #7: ObjectId: 2.5.29.18 Criticality=false IssuerAlternativeName [ CN= 한국정보보호진흥원 ] #8: ObjectId: 2.5.29.17 Criticality=false SubjectAlternativeName [ CN= 금융결제원 ] #9: ObjectId: 2.5.29.36 Criticality=false PolicyConstraints: [ Require: 0; Inhibit: unspecified ] 이인증서를신뢰하십니까? [ 아니오 ]: y 인증이 keystore 에추가되었습니다. - 4 -
(2) 웹서버인증서설치하기 1 keytool 파일로웹서버인증서 (sslcert.cer) 를설치합니다. C: keystore>keytool -import -alias tomcatserver -keystore C: keystore tomcatsslk ey -trustcacerts -file C: keystore sslcert.cer keystore 암호를입력하십시오 : 소유자 : CN=www.yessign.or.kr, OU=ssl-server, O=yessign, C=kr 발급자 : CN=yessignCA-SSL, OU=LicensedCA, O=yessign, C=kr 일련번호 : 1e2 유효기간시작 : Mon Jun 16 00:00:00 KST 2008 끝 : Tue Jun 16 23:59:59 KST 2009 인증지문 : MD5: A3:33:F6:0D:D4:F7:3C:09:C4:16:0B:C5:2A:29:7D:20 SHA1: B1:61:9E:CB:7F:77:69:A2:8C:9F:A2:13:D0:68:37:F8:B1:50:69:46 서명알고리즘이름 : SHA1withRSA 버전 : 3...... #7: ObjectId: 2.5.29.35 Criticality=false AuthorityKeyIdentifier [ KeyIdentifier [ 0000: B6 EA 13 4E A8 1B D5 3D ED 48 26 B2 64 D6 12 12...N...=.H&.d... 0010: 91 8D 33 95..3. ] [CN=KISA RootCA 3, OU=Korea Certification Authority Central, O=KISA, C=KR] SerialNumber: [ 3] ] #8: ObjectId: 2.5.29.17 Criticality=false SubjectAlternativeName [ DNSName: www.yessign.or.kr ] 이인증서를신뢰하십니까? [ 아니오 ]: y 인증이 keystore 에추가되었습니다. 다. 환경설정하기 1 Tomcat 의환경설정파일인 "server.xml 파일의내용을수정합니다. - SSL 관련부분이디폴트로주석처리되어있는데이부분의주석을해제하고내용을수정합니다. <!-- Define a SSL HTTP/1.1 Connector on port 8443 --> <Connector port="443" maxhttpheadersize="8192" maxthreads="150" minsparethreads="25" maxsparethreads="75" enablelookups="false" disableuploadtimeout="true" - 5 -
acceptcount="100" scheme="https" secure="true" keystorefile="c: keystore tomcatsslkey" keystorepass="[keystore 암호 ]" clientauth="false" sslprotocol="tls" /> 3. 보안웹서버가동 1 재설정한환경파일이적용되도록 Tomcat 서버를재가동합니다. 2 웹브라우저로웹서버를 https://" 프로토콜로접근하면브라우저하단에노란자물쇠아이콘 (Internet Explorer 일경우 ) 이표시되고해당아이콘을더블클릭하여인증서의경로가완전하게표시되는것을확인합니다. - 6 -
4. 다른서버에 SSL 인증서와키복사하기 1 "1절 에서생성한 keystore 파일 (C:\keystore\tomcatSSLKey) 을다른웹서버에복사합니다. 2 2 절나항 의과정대로 Tomcat 서버의환경을설정합니다. 3 3 절 의과정대로웹서버를재가동하고 SSL 적용을웹브라우저로확인합니다. - 7 -