메뉴
Amazon Elastic Compute Cloud
Linux 인스턴스용 사용 설명서

자습서: SSL/TLS를 사용하여 Amazon Linux에서 Apache 웹 서버 구성

Secure Sockets Layer/Transport Layer Security(SSL/TLS)는 웹 서버와 웹 클라이언트 간 암호화된 채널을 만들어 전송 중인 데이터가 도청되지 않도록 보호합니다. 이 자습서에서는 Apache 웹 서버를 실행하는 Amazon Linux의 단일 인스턴스에 SSL/TLS 지원을 수동으로 추가하는 방법을 설명합니다. AWS Certificate Manager는 여기에서 설명하지 않지만 여러 도메인을 관리하거나 상용 등급 서비스를 제공해야 할 경우 특히 적합한 옵션입니다.

참고

일반적으로 웹 암호화를 단순히 SSL이라고 부릅니다. 웹 브라우저에서 여전히 SSL을 지원하지만, 후속 프로토콜인 TLS가 공격에 덜 취약한 것으로 여겨집니다. Amazon Linux는 기본적으로 SSL 버전 2를 사용하지 않지만, 이 자습서에서는 아래에 설명된 대로 SSL 버전 3도 사용하지 않을 것을 권장합니다. 업데이트된 암호화 표준에 대한 자세한 내용은 RFC7568을 참조하십시오.

중요

이 절차는 Amazon Linux에서 사용하기 위한 것입니다. LAMP 웹 서버를 다른 배포 인스턴스에서 설치하려는 경우는 본 자습서를 이용할 수 없습니다. Ubuntu의 LAMP 웹 서버에 대한 자세한 내용은 Ubuntu 커뮤니티 문서 ApacheMySQLPHP 섹션을 참조하십시오. Red Hat Enterprise Linux에 대한 자세한 내용은 고객 포털 주제 웹 서버를 참조하십시오.

사전 조건

이 자습서를 시작하기 전에 다음 단계를 완료합니다.

  • Amazon Linux 인스턴스를 시작합니다. 자세한 내용은 1단계: 인스턴스 시작를 참조하십시오.

  • SSH(포트 22), HTTP(포트 80) 및 HTTPS(포트 443) 연결을 허용하도록 보안 그룹을 구성합니다. 자세한 내용은 Amazon EC2로 설정를 참조하십시오.

  • Apache 웹 서버를 설치합니다. 단계별 지침은 자습서: Amazon Linux에 LAMP 웹 서버 설치를 참조하십시오. http24 패키지와 그 종속 프로그램만 필요합니다. PHP 및 MySQL과 관련된 지침은 무시해도 됩니다.

  • SSL/TLS 퍼블릭 키 인프라(PKI)는 DNS(도메인 이름 시스템)를 사용하여 웹 사이트를 식별하고 인증합니다. EC2 인스턴스를 사용하여 퍼블릭 웹 사이트를 호스팅하려는 경우, 웹 서버의 도메인 이름을 등록하거나 Amazon EC2 호스트로 기존 도메인 이름을 전송해야 합니다. 수많은 타사 도메인 등록 및 DNS 호스팅 서비스를 이에 사용할 수 있습니다. 또는 Amazon Route 53을 사용할 수도 있습니다.

1단계: 서버에서 SSL/TLS 활성화

이 절차에서는 자체 서명된 디지털 인증서를 사용하여 Amazon Linux에 SSL/TLS를 설치하는 과정을 보여 줍니다.

서버에서 SSL/TLS를 활성화하려면

  1. 인스턴스에 연결한 다음 Apache가 실행되는지 확인합니다.

    Copy
    [ec2-user ~]$ sudo service httpd status

    필요한 경우 Apache를 시작합니다.

    Copy
    [ec2-user ~]$ sudo service httpd start
  2. 모든 소프트웨어 패키지가 최신 상태로 업데이트되어 있는지 확인하기 위해, 인스턴스에서 퀵 소프트웨어 업데이트를 실행합니다. 이 업데이트 과정은 몇 분 정도 시간이 소요될 수 있지만, 최신 보안 업데이트와 버그 수정을 위해 수행할 필요가 있습니다.

    참고

    -y 옵션을 사용하면 확인 여부를 묻지 않고 업데이트를 설치합니다. 설치 전에 업데이트 정보를 확인하려면 이 옵션을 생략합니다.

    Copy
    [ec2-user ~]$ sudo yum update -y
  3. 이제 인스턴스가 최신 상태이므로 다음과 같은 Apache module mod_ssl을 설치하여 SSL/TLS 지원을 추가합니다.

    Copy
    [ec2-user ~]$ sudo yum install -y mod24_ssl

    이 자습서에서 나중에 다음과 같은 설치된 세 가지 중요한 파일을 작업합니다.

    • /etc/httpd/conf.d/ssl.conf

      mod_ssl의 구성 파일입니다. 이 파일에는 Apache에 암호화 키 및 인증서의 위치, 허용하는 SSL/TLS 프로토콜, 사용하는 암호화 알고리즘을 알려주는 "명령"이 포함되어 있습니다.

    • /etc/pki/tls/private/localhost.key

      Amazon EC2 호스트의 2048비트 RSA 프라이빗 키로, 자동으로 생성됩니다. 설치하는 동안 OpenSSL은 이 키를 사용하여 자체 서명된 호스트 인증서를 생성하며, 나중에 이를 사용하여 인증 기관(CA)에 제출할 인증서 서명 요청(CSR)을 생성할 수 있습니다.

    • /etc/pki/tls/certs/localhost.crt

      서버 호스트의 자체 서명된 X.509 인증서로, 자동으로 생성됩니다. 이 인증서는 Apache가 SSL/TLS를 사용하도록 올바르게 설치되었는지 테스트하는 데 유용합니다.

    .key.crt 파일은 모두 PEM 형식입니다. 이 형식은 아래의 축약된 인증서 예제와 같이 "BEGIN" 및 "END" 라인으로 프레임 처리된 Base64 인코딩 ASCII 문자로 구성됩니다.

    Copy
    -----BEGIN CERTIFICATE----- MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy ... z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0 WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak 3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg== -----END CERTIFICATE-----

    파일 이름 및 확장명은 편의상 사용되며 기능에 영향을 미치지 않습니다. ssl.conf 파일에서 관련 명령에 동일한 이름을 사용하는 한, 인증서 이름을 cert.crt 또는 cert.pem 또는 certificate.pem으로 지정할 수 있습니다.

    참고

    기본 SSL 파일을 고유의 사용자 지정 파일로 대체하는 경우 파일이 PEM 형식인지 확인하십시오.

  4. Apache를 다시 시작합니다.

    Copy
    [ec2-user ~]$ sudo service httpd restart
  5. Apache 웹 서버가 현재 포트 443에 대해 HTTPS(보안 HTTP)를 지원해야 합니다. 접두사가 https://인 브라우저 URL 표시줄에 IP 주소 또는 EC2 인스턴스의 정규화된 도메인 이름을 입력하여 이를 테스트합니다. 신뢰할 수 없는 자체 서명된 인증서를 사용하여 사이트에 연결하기 때문에 브라우저에 경고가 연속으로 표시될 수 있습니다.

    이러한 경고를 무시하고 계속 진행합니다. Apache 기본 시작 페이지가 열리면 서버에 SSL/TLS가 구성되었다는 것입니다. 브라우저의 URL 표시줄의 잠금 아이콘에서 알 수 있듯이 브라우저와 서버를 통과하는 모든 데이터가 이제 안전하게 암호화됩니다.

    사이트 방문자에게 경고 화면이 표시되는 것을 방지하려면 암호화뿐만 아니라 해당 사이트의 소유자라는 것을 공개적으로 인증하는 인증서를 가져와야 합니다.

2단계: CA가 서명한 인증서 가져오기

이 섹션에서는 프라이빗 키에서 인증서 서명 요청(CSR)을 생성하고, 인증 기관(CA)에 CSR을 제출하고, 서명된 인증서를 가져오고, Apache를 구성하여 이를 사용하는 절차를 설명합니다.

자체 서명된 SSL/TLS X.509 인증서는 CA가 서명한 인증서와 암호적으로 동일합니다. 그 차이는 수학적인 것이 아니라 사회적입니다. CA는 신청자에게 인증서를 발급하기 전에 도메인의 소유권을 최소한으로 검사합니다. 각 웹 브라우저에는 이를 하도록 브라우저 공급업체에서 신뢰한 CA 목록이 포함되어 있습니다. X.509 인증서는 프라이빗 서버 키에 해당하는 퍼블릭 키와 퍼블릭 키에 암호화 방식으로 연결된 CA의 서명으로 주로 구성되어 있습니다. 브라우저가 HTTPS를 통해 웹 서버에 연결되면 서버는 브라우저에서 신뢰할 수 있는 CA 목록을 확인하도록 인증서를 제공합니다. 서명자가 목록에 있거나 신뢰할 수 있는 다른 서명자 체인을 통해 서명자에 액세스할 수 있는 경우, 브라우저는 서버와 암호화된 빠른 데이터 채널을 협상하고 페이지를 로드합니다.

요청 확인 절차로 인해 인증서에는 일반적으로 비용이 발생하므로 여러 인증 기관을 알아봐야 합니다. 잘 알려진 CA 목록은 dmoz.org에서 확인할 수 있습니다. StartCom과 같은 일부 CA는 기본 수준("클래스 1") 인증서를 무료로 제공합니다.

인증서의 기본을 이루는 것은 키입니다. 2013년 현재 정부산업 그룹에서는 RSA 키에 대해 최소 2048비트의 키(모듈러스) 크기를 사용할 것을 권장합니다. Amazon Linux의 OpenSSL에서 생성된 기본 모듈러스 크기는 2048비트이므로, 기존의 자동 생성된 키를 CA가 서명한 인증서에 사용할 수 있습니다. 예를 들면, 모듈러스가 더 크거나 다른 암호화 알고리즘을 사용하는 사용자 지정 키를 원하는 경우 아래 절차를 참조합니다.

CA가 서명한 인증서를 가져오려면

  1. 인스턴스에 연결한 다음 /etc/pki/tls/private/으로 이동합니다. 이는 SSL/TLS에 대한 서버의 프라이빗 키가 저장된 디렉터리입니다. 기존 호스트 키를 사용하여 CSR을 생성하려면 3단계로 건너뜁니다.

  2. (선택 사항) 새 프라이빗 키를 생성합니다. 다음은 몇 가지 키 구성 샘플입니다. 어떤 결과 키도 웹 서버에서 사용할 수 있지만 어떻게(또한 얼마나) 보안을 구현할지는 각각 다릅니다.

    1. 다음은 이를 위한 첫 단계로써 인스턴스의 기본 호스트 키와 유사한 RSA 키를 생성하는 명령입니다.

      Copy
      [ec2-user ~]$ sudo openssl genrsa -out custom.key 2048

      결과 파일인 custom.key는 2048비트 RSA 프라이빗 키입니다.

    2. 모듈러스가 더 큰 보다 강력한 RSA 키를 생성하려면 다음 명령을 사용합니다.

      Copy
      [ec2-user ~]$ sudo openssl genrsa -out custom.key 4096

      결과 파일인 custom.key는 4096비트 RSA 프라이빗 키입니다.

    3. 암호로 보호되는 4096비트 암호화 RSA 키를 생성하려면 다음 명령을 사용합니다.

      Copy
      [ec2-user ~]$ sudo openssl genrsa -aes128 -passout pass:abcde12345 -out custom.key 4096

      그러면 AES-128 암호화로 암호화된 4096비트 RSA 프라이빗 키가 생성됩니다.

      중요

      암호화를 통해 보안을 강화할 수 있지만, 암호화된 키에는 암호가 필요하기 때문에 이를 사용하는 서비스는 자동으로 시작할 수 없습니다. 이 키를 사용할 때마다 SSH 연결을 통해 암호 "abcde12345"를 입력해야 합니다.

    4. RSA 암호화는 상대적으로 느린데, 그 보안 체계가 큰 두 개의 소수를 소인수 분해하는 것의 난해성에 기반을 두기 때문입니다. 그러나 RSA 암호화 이외의 암호화를 사용하는 SSL/TLS의 키를 생성할 수 있습니다. 타원 곡선 수학을 기반으로 하는 키는 동등한 보안 수준을 제공할 때 보다 작고 빠릅니다. 다음은 그 예입니다.

      Copy
      [ec2-user ~]$ sudo openssl ecparam -name prime256v1 -out custom.key -genkey

      이 예에서 출력은 OpenSSL에서 지원하는 "명명된 곡선"인 prime256v1을 사용하는 256비트 타원 곡선 프라이빗 키입니다. NIST에 따르면 이 키의 암호화 강도는 2048비트 RSA 키보다 약간 더 높습니다.

      참고

      모든 CA에서 타원 곡선 기반 키에 대해 RSA 키와 동등한 수준의 지원을 제공하지는 않습니다.

    새 프라이빗 키의 권한은 매우 제한적(소유자 루트, 그룹 루트, 소유자 전용 읽기/쓰기)이어야 합니다. 명령은 다음과 같습니다.

    Copy
    [ec2-user ~]$ sudo chown root.root custom.key [ec2-user ~]$ sudo chmod 600 custom.key [ec2-user ~]$ ls -al custom.key

    위 명령의 결과는 다음과 같아야 합니다.

    Copy
    -rw------- root root custom.key

    만족스러운 키를 생성 및 구성한 후 CSR을 생성할 수 있습니다.

  3. 원하는 키를 사용하여 CSR을 생성합니다. 아래 예에서는 private.key를 사용합니다.

    Copy
    [ec2-user ~]$ sudo openssl req -new -key private.key -out csr.pem

    OpenSSL은 대화 상자를 열고 아래 표의 정보를 입력하라는 메시지를 표시합니다. 도메인에서 확인된 기본 인증서의 경우 [Common Name]을 제외한 모든 필드는 선택 사항입니다.

    이름 설명
    국가 이름 해당 국가의 두 자리 ISO 약자. US(=미국)
    주 또는 지방 이름 해당 조직이 위치한 주 또는 지방의 이름. 이 이름은 약어로 사용할 수 없음. 워싱턴
    시 이름 조직의 위치(예: 도시). Seattle
    조직 이름 해당 조직의 정식 이름. 조직 이름의 약칭을 사용하지 마십시오. Example Corp
    조직 단위 이름 조직에 대한 추가 정보(있는 경우). 부서 예
    일반 이름

    이 값은 사용자가 브라우저에 입력해야 하는 웹 주소와 정확히 일치해야 합니다. 일반적으로 이는 www.example.com의 형식으로, 호스트 이름 또는 별칭이 앞에 붙는 도메인 이름을 뜻합니다. 자체 서명된 인증서로 DNS 확인 없이 테스트하는 경우, 일반 이름은 호스트 이름만으로 구성될 수 있습니다. CA는 *.example.com과 같이 와일드 카드 이름을 허용하는 비싼 인증서도 제공합니다.

    www.example.com
    이메일 주소 서버 관리자의 이메일 주소. someone@example.com

    마지막으로 OpenSSL은 챌린지 암호(선택 사항)를 입력하라는 메시지를 표시합니다. 이 암호는 해당 CSR 및 사용자와 해당 CA 간의 트랜잭션에만 적용되므로, 암호 및 기타 선택적 필드(선택적 회사 이름)에 대한 해당 CA의 권장 사항을 따릅니다. CSR 챌린지 암호는 서버 작업에 영향을 미치지 않습니다.

    결과 파일인 csr.pem에는 퍼블릭 키, 퍼블릭 키의 디지털 서명 및 입력한 메타데이터가 포함되어 있습니다.

  4. CA에 CSR을 제출합니다. 이는 보통 텍스트 편집기에서 CSR 파일을 열고 웹 양식에 내용을 복사하는 것으로 구성됩니다. 이때 인증서에 추가할 하나 이상의 주체 대체 이름(SAN)을 입력하라는 메시지가 나타날 수 있습니다. www.example.com이 일반 이름일 경우, example.com은 좋은 SAN이며, 그 반대의 경우도 마찬가지입니다. 위 이름 중 하나를 입력하면 오류 없이 연결됩니다. CA 웹 양식에서 이를 허용하는 경우, SAN 목록에 일반 이름을 포함시킵니다. (일부 CA는 이를 자동으로 포함시킵니다.)

    요청이 승인되면 CA에서 서명한 새 호스트 인증서를 받게 됩니다. CA의 신뢰 체인을 완료하는 데 필요한 추가 인증서가 포함된 중간 인증서 파일을 다운로드하라는 안내를 받을 수도 있습니다.

  5. /etc/pki/tls/certs 디렉터리에서 자체 서명된 이전 호스트 인증서인 localhost.crt를 제거하고 해당 디렉터리에 (중간 인증서와 함께) CA가 서명한 새 인증서를 추가합니다.

    참고

    여러 가지 방법으로 새 인증서를 EC2 인스턴스에 업로드할 수 있지만, 가장 간편하고 유익한 방법은 텍스트 편집기(vi, nano, 메모장 등)를 로컬 컴퓨터와 인스턴스에 모두 열고 두 편집기 간에 파일 콘텐츠를 복사하여 붙이는 것입니다. 이렇게 하면 권한 또는 경로 문제가 있는 경우 즉시 확인할 수 있습니다. 하지만 콘텐츠를 복사하는 동안 라인을 추가하거나 어떤 식으로든 콘텐츠를 변경하지 않도록 주의하십시오.

    /etc/pki/tls/certs 디렉터리 내에서 파일 소유권, 그룹 및 권한 설정이 매우 제한적인 Amazon Linux 기본값(소유자 루트, 그룹 루트, 소유자 전용 읽기/쓰기)과 일치하는지 확인합니다. 명령은 다음과 같습니다.

    Copy
    [ec2-user certs]$ sudo chown root.root custom.crt [ec2-user certs]$ sudo chmod 600 custom.crt [ec2-user certs]$ ls -al custom.crt

    위 명령의 결과는 다음과 같아야 합니다.

    Copy
    -rw------- root root custom.crt

    중간 인증서 파일에 대한 권한은 덜 엄격합니다(소유자 루트, 그룹 루트, 소유자 쓰기 가능, 모든 사용자 읽기 가능). 이 명령은 다음과 같습니다.

    Copy
    [ec2-user certs]$ sudo chown root.root intermediate.crt [ec2-user certs]$ sudo chmod 644 intermediate.crt [ec2-user certs]$ ls -al intermediate.crt

    위 명령의 결과는 다음과 같아야 합니다.

    Copy
    -rw-r--r-- root root intermediate.crt
  6. CA가 인증한 새 인증서의 파일 이름(이 예에서는 custom.crt)은 이전 인증서의 것과 다를 수 있습니다. /etc/httpd/conf.d/ssl.conf를 편집하고 Apache의 SSLCertificateFile 명령을 사용하여 올바른 경로 및 파일 이름을 입력합니다.

    Copy
    SSLCertificateFile /etc/pki/tls/certs/custom.crt

    중간 인증서 파일을 받은 경우(이 예에서는 intermediate.crt), Apache의 SSLCACertificateFile 명령을 사용하여 경로 및 파일 이름을 입력합니다.

    Copy
    SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

  7. /etc/httpd/conf.d/ssl.conf를 저장하고 Apache를 다시 시작합니다.

    Copy
    [ec2-user ~]$ sudo service httpd restart

3단계: 보안 구성 테스트 및 강화

SSL/TLS이 작동되고 일반에 공개된 후 이의 실제 보안 수준을 테스트해야 합니다. 보안 설정을 무료로 완벽하게 분석해 주는 Qualys SSL Labs와 같은 온라인 서비스를 사용하면 이를 손쉽게 수행할 수 있습니다. 그 결과에 따라 수용할 프로토콜, 원하는 암호 및 제외할 암호를 관리하여 기본 보안 구성을 강화할 수 있습니다. 자세한 내용은 how Qualys formulates its scores 섹션을 참조하십시오.

중요

실제 테스트는 서버 보안에 매우 중요합니다. 구성상의 작은 오류가 심각한 보안 침해 및 데이터 손실로 이어질 수 있습니다. 권장되는 보안 사례는 연구 및 새롭게 생겨나는 위협에 대처하기 위해 끊임없이 변화하므로 보안 감사를 주기적으로 실시하는 것이 서버 관리에 필수적입니다.

Qualys SSL Labs 사이트에 www.example.com 형식으로 서버의 정규화된 도메인 이름을 입력합니다. 약 2분 후 사이트 등급(A - F) 및 확인된 상세 분석 결과를 받게 됩니다. 아래 표에 Amazon Linux의 기본 Apache 구성과 설정이 동일한 도메인에 대한 보고서가 요약되어 있습니다.

종합 등급 C
인증서 100%
프로토콜 지원 90%
키 교환 90%
암호화 수준 90%

이 보고서에 따르면 인증서, 프로토콜 지원, 키 교환 및 암호화 수준이 수용할 만한 등급으로, 구성이 대체로 안전하다는 것을 보여 줍니다. 그러나 이 보고서는 또한 종합 등급을 낮춘 세 가지 취약성을 플래그로 지정하고 있으며, 이러한 취약성은 다음과 같이 해결할 수 있습니다.

  • 푸들 취약성: 2014년에 발견된 푸들 공격은 공격자가 웹 사이트를 가장할 수 있도록 하는 SSL 버전 3의 취약점을 활용합니다. 해결책은 간단합니다. 바로 서버에 대한 SSL 버전 3 지원을 비활성화하는 것입니다. /etc/httpd/conf.d/ssl.conf 구성 파일에서 줄의 시작 부분에 "#"을 입력하여 다음을 주석 처리합니다.

    Copy
    SSLProtocol all -SSLv2

    그런 다음, 다음 명령을 추가합니다.

    Copy
    SSLProtocol -SSLv2 -SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2

    이 명령은 SSL 버전 2를 명시적으로 비활성화하는 것 외에도 (보안 감사에서 플래그 지정한) SSL 버전 3을 비활성화하고 기존의 모든 TLS 버전을 명시적으로 허용합니다. 이제 이 서버는 TLS 이외의 프로토콜을 사용하는 클라이언트와의 암호화된 연결을 허용하지 않습니다. 명령의 상세 내용은 서버의 구성 내용을 사람에게 더욱 명확히 전달합니다.

  • RC4 암호 지원: 암호는 암호화 알고리즘의 수학적 핵심입니다. SSL/TLS 데이터 스트림을 암호화하는 데 사용하는 빠른 암호인 RC4에는 몇 가지 심각한 취약점이 있는 것으로 알려져 있습니다. 해결책은 ssl.conf에서 RC4 지원을 비활성화하는 것으로, 이는 다음 예의 해결책 중 일부이기도 합니다.

  • 순방향 비밀성 지원 누락: 순방향 비밀성은 프라이빗 키에서 파생된 임시(사용 후 삭제) 세션 키를 사용하여 암호화하는 프로토콜의 기능입니다. 이는 실제 공격자가 웹 서버의 장기 프라이빗 키를 보유하고 있더라도 HTTPS 데이터의 암호를 해독할 수 없다는 것을 뜻합니다. Qualys의 "참조 브라우저" 목록을 구성하는 웹 브라우저는 모두 순방향 비밀성을 지원합니다.

    RC4와 순방향 비밀성 문제의 해결책은 Apache의 허용 및 금지 암호 목록을 사용자 지정하고, 취약한 암호에 대해 강력한 암호 기본 설정을 적용하는 것입니다. 여기에는 두 가지 구성 변경이 필요합니다.

    /etc/httpd/conf.d/ssl.conf 구성 파일에서 SSLCipherSuite 구성을 위한 주석 처리된 예가 포함된 섹션을 찾고, 현재 목록을 주석 처리(유지)한 다음, 다음 명령을 추가합니다.

    참고

    여기에서는 가독성을 위해 여러 줄로 표시했지만, 전체 명령은 암호 이름 사이에 공백이 없는 한 줄이어야 합니다.

    Copy
    SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384: ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256: AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH: !EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

    이러한 암호는 OpenSSL에서 지원되는 훨씬 더 긴 암호 목록의 하위 집합으로, 다음 기준에 따라 선택 및 정렬되었습니다.

    1. 순방향 비밀성 지원

    2. 암호화 수준

    3. 속도

    4. 암호 패밀리 앞의 특정 암호

    5. 거부된 암호 앞의 허용된 암호

    순위가 높은 암호의 경우 이름에 ECDHE(Elliptic Curve Diffie-Hellman Ephemeral )가 있습니다. ephemeral(사용 후 삭제)은 순방향 비밀성을 나타냅니다. 또한 RC4는 현재 끝 부분에 있는 금지된 암호 중 하나입니다.

    내용이 표시되지 않는 기본값 또는 terse 명령 대신 명시적 암호 목록을 사용하는 것이 좋습니다.

    중요

    여기에 나와 있는 암호 목록은 가능한 여러 목록 중 하나에 불과합니다. 예를 들어, 순방향 비밀성 대신 속도를 기준으로 목록을 최적화할 수도 있습니다.

    이전 클라이언트를 지원해야 할 경우, DES-CBC3-SHA 암호 그룹을 허용할 수 있습니다.

    마지막으로 각 OpenSSL 업데이트 시 새 암호가 도입되고 이전 암호의 사용이 중단됩니다. EC2 Amazon Linux 인스턴스를 최신으로 유지하고, OpenSSL의 보안 알림을 잘 확인하며, 기술 정보 신문의 새 보안 취약점에 대한 보고를 잘 살핍니다. 자세한 내용은 Elastic Load Balancing 사용 설명서Predefined SSL Security Policies for Elastic Load Balancing 섹션을 참조하십시오.

    "#"을 제거하여 다음 줄의 주석 처리를 해제합니다.

    Copy
    #SSLHonorCipherOrder on

    이 명령은 (이 예에서는) 순방향 비밀성을 지원하는 암호를 포함하여 서버에서 순위가 높은 암호를 선호하도록 합니다. 이 명령이 설정되면 서버는 먼저 강력한 보안 연결 설정을 시도해 본 후 보안이 더 약한 허용된 암호로 대체합니다.

    편집한 구성 파일을 저장한 후 Apache를 다시 시작합니다.

Qualys SSL Labs에서 도메인을 다시 테스트하려면 취약성이 해결되고 요약이 다음과 같아야 합니다.

종합 등급 A
인증서 100%
프로토콜 지원 95%
키 교환 90%
암호화 수준 90%

문제 해결

  • 암호를 입력하지 않으면 Apache 웹 서버가 시작하지 않습니다.

    암호화되고 암호로 보호되는 프라이빗 서버 키를 설치한 경우 이는 예상된 동작입니다.

    키에서 암호화 및 암호를 제거할 수 있습니다. 기본 디렉터리에 custom.key라는 암호화된 프라이빗 RSA 키가 있고 이 키의 암호가 abcde12345라고 가정하면, EC2 인스턴스에서 다음 명령을 실행하여 이 키의 암호화되지 않은 버전을 생성합니다.

    Copy
    [ec2-user ~]$ cd /etc/pki/tls/private/ [ec2-user private]$ sudo cp custom.key custom.key.bak [ec2-user private]$ sudo openssl rsa -in custom.key -passin pass:abcde12345 -out custom.key.nocrypt [ec2-user private]$ sudo mv custom.key.nocrypt custom.key [ec2-user private]$ sudo chown root.root custom.key [ec2-user private]$ sudo chmod 600 custom.key [ec2-user private]$ sudo service httpd restart

    이제 Apache가 암호를 묻지 않고 시작할 것입니다.