Amazon Elastic Compute Cloud
Linux 인스턴스용 사용 설명서

자습서: Amazon Linux 2에서 SSL/TLS 구성

Secure Sockets Layer/Transport Layer Security(SSL/TLS)는 웹 서버와 웹 클라이언트 간 암호화된 채널을 만들어 전송 중인 데이터가 도청되지 않도록 보호합니다. 이 자습서에서는 Apache 웹 서버 및 Amazon Linux 2의 EC2 인스턴스에 SSL/TLS 지원을 수동으로 추가하는 방법을 설명합니다. 상용 서비스를 제공하려는 경우 여기서 설명하지는 않지만 AWS Certificate Manager가 적합한 옵션입니다.

일반적으로 웹 암호화를 단순히 SSL이라고 부릅니다. 웹 브라우저에서 여전히 SSL을 지원하지만, 후속 프로토콜인 TLS가 공격에 덜 취약합니다. Amazon Linux 2는 기본적으로 모든 SSL 버전에 대한 서버 측 지원을 비활성화합니다. 보안 표준 본문에서는 TLS 1.0이 안전하지 못하다고 간주하며, TLS 1.0과 TLS 1.1은 IETF가 공식적으로 사용 중지 조치를 진행 중입니다. 이 자습서에서는 TLS 1.2 활성화만을 기반으로 하여 지침을 제공합니다. (새 TLS 1.3 프로토콜은 초안 형식으로 존재하지만 아직 Amazon Linux 2에서 지원되지는 않습니다.) 업데이트된 암호화 표준에 대한 자세한 내용은 RFC 7568RFC 8446을 참조하십시오.

이 자습서는 현대 웹 암호화를 단순히 TLS로 언급합니다.

중요

이 절차는 Amazon Linux 2에서 사용하기 위한 것입니다. 또한 사용자가 새 Amazon EC2 인스턴스로 시작한다고 가정합니다. LAMP 웹 서버를 다른 배포로 인스턴스에서 설치하거나 이전에 사용하던 기존 인스턴스의 재사용하려는 경우에는 본 자습서의 일부 절차를 이용하지 못할 수도 있습니다. Ubuntu의 LAMP 웹 서버에 대한 자세한 내용은 Ubuntu 커뮤니티 문서 ApacheMySQLPHP를 참조하십시오. Red Hat Enterprise Linux에 대한 자세한 내용은 고객 포털 주제 웹 서버를 참조하십시오.

사전 조건

이 자습서를 시작하기 전에 다음 단계를 완료합니다.

  • EBS 지원 Amazon Linux 2 인스턴스를 시작합니다. 자세한 내용은 1단계: 인스턴스 시작 단원을 참조하십시오.

  • 인스턴스가 다음 TCP 포트에서 연결을 허용하도록 보안 그룹을 구성합니다.

    • SSH(포트 22)

    • HTTP(포트 80)

    • HTTPS(포트 443)

    자세한 내용은 Linux 인스턴스의 인바운드 트래픽 권한 부여 단원을 참조하십시오.

  • Apache 웹 서버를 설치합니다. 단계별 지침은 자습서: Amazon Linux 2에 LAMP 웹 서버 설치를 참조하십시오. httpd 패키지와 그 종속 프로그램만 필요합니다. PHP 및 MariaDB와 관련된 지침은 무시해도 됩니다.

  • 웹 사이트를 식별하고 인증하려면 TLS 퍼블릭 키 인프라(PKI)는 도메인 이름 시스템(DNS)을 사용합니다. EC2 인스턴스를 사용하여 퍼블릭 웹 사이트를 호스팅하려는 경우, 웹 서버의 도메인 이름을 등록하거나 Amazon EC2 호스트로 기존 도메인 이름을 전송해야 합니다. 수많은 타사 도메인 등록 및 DNS 호스팅 서비스를 이에 사용할 수 있습니다. 또는 Amazon Route 53을 사용할 수도 있습니다.

1단계: 서버에서 TLS 활성화

이 절차에서는 자체 서명된 디지털 인증서를 사용하여 Amazon Linux 2에 TLS를 설치하는 과정을 보여 줍니다.

참고

자체 서명된 인증서는 테스트에는 허용되지만 프로덕션에는 허용되지 않습니다. 자체 서명된 인증서를 인터넷에 노출하면 사이트 방문자에게 인사말로 보안 경고가 표시됩니다.

서버에서 TLS를 활성화하려면

  1. 인스턴스에 연결한 다음 Apache가 실행되는지 확인합니다.

    [ec2-user ~]$ sudo systemctl is-enabled httpd

    반환된 값이 "enabled"가 아닌 경우 Apache를 시작한 다음 시스템 부팅 시마다 시작하도록 설정합니다.

    [ec2-user ~]$ sudo systemctl start httpd && sudo systemctl enable httpd
  2. 모든 소프트웨어 패키지가 최신 상태로 업데이트되어 있는지 확인하기 위해, 인스턴스에서 퀵 소프트웨어 업데이트를 실행합니다. 이 업데이트 과정은 몇 분 정도 시간이 소요될 수 있지만, 최신 보안 업데이트와 버그 수정을 위해 수행할 필요가 있습니다.

    참고

    -y 옵션을 사용하면 확인 여부를 묻지 않고 업데이트를 설치합니다. 설치 전에 업데이트 정보를 확인하려면 이 옵션을 생략합니다.

    [ec2-user ~]$ sudo yum update -y
  3. 이제 인스턴스가 최신 상태이므로 다음과 같은 Apache module mod_ssl을 설치하여 TLS 지원을 추가합니다.

    [ec2-user ~]$ sudo yum install -y mod_ssl

    이제 인스턴스에는 보안 서버 구성과 테스트를 위한 인증서 생성에 사용할 다음 파일이 포함됩니다.

    • /etc/httpd/conf.d/ssl.conf

      mod_ssl의 구성 파일입니다. 여기에는 Apache에 암호화 키 및 인증서의 위치, 허용하는 TLS 프로토콜 버전, 허용하는 암호화 암호를 알려주는 명령이 포함되어 있습니다.

    • /etc/pki/tls/certs/make-dummy-cert

      서버 호스트에 대한 프라이빗 키와 자체 서명된 X.509 인증서 생성용 스크립트입니다. 이 인증서는 Apache가 TLS를 사용하도록 올바르게 설치되었는지 테스트하는 데 유용합니다. 제공하는 자격 증명이 없기 때문에 프로덕션에서 사용되어서는 안됩니다. 프로덕션 환경에서 사용되는 경우 웹 브라우저에서 경고를 트리거합니다.

  4. 스크립트를 실행하여 자체 서명된 테스트용 더미 인증서와 키를 생성합니다.

    [ec2-user ~]$ cd /etc/pki/tls/certs sudo ./make-dummy-cert localhost.crt

    그러면 새 파일인 localhost.crt 파일이 /etc/pki/tls/certs/ 디렉터리에 생성됩니다. 지정된 파일의 이름은 /etc/httpd/conf.d/ssl.confSSLCertificateFile 명령에 할당된 기본값과 일치합니다.

    이 파일에는 자체 서명된 인증서와 인증서의 프라이빗 키가 모두 포함됩니다. Apache에서는 인증서와 키를 PEM 형식으로 요구합니다. 이 형식은 아래의 축약된 예제와 같이 "BEGIN" 및 "END" 라인으로 프레임 처리된 Base64 인코딩 ASCII 문자로 구성됩니다.

    -----BEGIN PRIVATE KEY----- MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQD2KKx/8Zk94m1q 3gQMZF9ZN66Ls19+3tHAgQ5Fpo9KJDhzLjOOCI8u1PTcGmAah5kEitCEc0wzmNeo BCl0wYR6G0rGaKtK9Dn7CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vr GvwnKoMh3DlK44D9dX7IDua2PlYx5+eroA+1Lqf32ZSaAO0bBIMIYTHigwbHMZoT ... 56tE7THvH7vOEf4/iUOsIrEzaMaJ0mqkmY1A70qQGQKBgBF3H1qNRNHuyMcPODFs 27hDzPDinrquSEvoZIggkDMlh2irTiipJ/GhkvTpoQlv0fK/VXw8vSgeaBuhwJvS LXU9HvYq0U6O4FgD3nAyB9hI0BE13r1HjUvbjT7moH+RhnNz6eqqdscCS09VtRAo 4QQvAqOa8UheYeoXLdWcHaLP -----END PRIVATE KEY----- -----BEGIN CERTIFICATE----- MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy ... z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0 CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vrGvwnKoMh3DlK44D9dlU3 WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak 3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg== -----END CERTIFICATE-----

    파일 이름과 확장명은 편의상 사용되며 기능에 영향을 미치지 않습니다. 예를 들어 ssl.conf 파일에서 관련 명령에 동일한 이름을 사용하는 한, 인증서 이름을 cert.crt, cert.pem 또는 다른 파일 이름으로 지정할 수 있습니다.

    참고

    기본 TLS 파일을 고유의 사용자 지정 파일로 대체하는 경우 파일이 PEM 형식인지 확인하십시오.

  5. 자체 서명된 더미 인증서에도 키가 포함되어 있으므로 /etc/httpd/conf.d/ssl.conf 파일을 열고 다음 행을 주석으로 처리합니다. 다음 단계를 완료하기 전에 이 행을 주석으로 처리하지 않는 경우 Apache 서비스가 시작되지 않습니다.

    SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
  6. Apache를 다시 시작합니다.

    [ec2-user ~]$ sudo systemctl restart httpd

    참고

    앞에서 설명한 대로 EC2 인스턴스에서 TCP 포트 443에 액세스할 수 있는지 확인하십시오.

  7. Apache 웹 서버가 현재 포트 443에 대해 HTTPS(보안 HTTP)를 지원해야 합니다. 접두사가 https://인 브라우저 URL 표시줄에 IP 주소 또는 EC2 인스턴스의 정규화된 도메인 이름을 입력하여 이를 테스트합니다.

    신뢰할 수 없는 자체 서명된 호스트 인증서를 사용하여 사이트에 연결하기 때문에 브라우저에 보안 경고가 연속으로 표시될 수 있습니다. 경고를 무시하고 계속 진행합니다.

    Apache 기본 테스트 페이지가 열리면 서버에 TLS가 구성되었다는 것입니다. 브라우저와 서버 사이를 통과하는 모든 데이터가 이제 암호화됩니다.

    참고

    사이트 방문자에게 경고 화면이 표시되는 것을 방지하려면 암호화뿐만 아니라 해당 사이트의 소유자라는 것을 공개적으로 인증하는 신뢰할 수 있는 CA 서명 인증서를 가져와야 합니다.

2단계: CA가 서명한 인증서 가져오기

CA가 서명한 인증서를 가져오려면 다음 절차를 사용할 수 있습니다.

  • 프라이빗 키에서 인증서 서명 요청(CSR)을 생성합니다.

  • Submit the CSR to a certificate authority (CA)

  • Obtain a signed host certificate

  • Configure Apache to use the certificate

자체 서명된 TLS X.509 호스트 인증서는 CA가 서명한 인증서와 암호적으로 동일합니다. 그 차이는 수학적인 것이 아니라 사회적입니다. CA는 신청자에게 인증서를 발급하기 전에 도메인의 소유권을 최소한으로 검사합니다. 각 웹 브라우저에는 이를 하도록 브라우저 공급업체에서 신뢰한 CA 목록이 포함되어 있습니다. X.509 인증서는 프라이빗 서버 키에 해당하는 퍼블릭 키와 퍼블릭 키에 암호화 방식으로 연결된 CA의 서명으로 주로 구성되어 있습니다. 브라우저가 HTTPS를 통해 웹 서버에 연결되면 서버는 브라우저에서 신뢰할 수 있는 CA 목록을 확인하도록 인증서를 제공합니다. 서명자가 목록에 있거나 신뢰할 수 있는 다른 서명자로 구성되는 신뢰 체인을 통해 서명자에 액세스할 수 있는 경우, 브라우저는 서버와 암호화된 빠른 데이터 채널을 협상하고 페이지를 로드합니다.

요청 확인 절차로 인해 인증서에는 일반적으로 비용이 발생하므로 여러 인증 기관을 알아봐야 합니다. 잘 알려진 CA 목록은 dmoztools.net에서 확인할 수 있습니다. 일부 CA는 기본 수준 인증서를 무료로 제공합니다. 이러한 CA 중 가장 주목할 만한 것은 Let's Encrypt 프로젝트인데, 이것은 인증서 생성 및 갱신 프로세스의 자동화도 지원합니다. Let's Encrypt as your CA 사용에 대한 자세한 내용은 인증서 자동화: Amazon Linux 2에서 Cerbot의 Let’s Encrypt 단원을 참조하십시오.

호스트 인증서의 기본을 이루는 것은 키입니다. 2019년 현재 정부산업 그룹에서는 2030년까지 문서를 보호하기 위해 마련된 RSA 키에 대해 최소 2048비트의 키(모듈러스) 크기를 사용할 것을 권장합니다. Amazon Linux 2의 OpenSSL에서 생성된 기본 모듈러스 크기는 2048비트이므로 CA가 서명한 인증서에 사용할 수 있습니다. 다음 절차는 사용자 지정된 키(예: 더 큰 모듈러스 또는 다른 암호화 알고리즘 사용)를 원하는 사용자를 위해 제공되는 선택적 단계입니다.

이 CA 서명 호스트 인증서 획득 지침은 등록과 호스팅이 완료된 DNS 도메인을 소유하지 않을 경우 제대로 적용하기 어렵습니다.

CA가 서명한 인증서를 가져오려면

  1. 인스턴스에 연결한 다음 /etc/pki/tls/private/으로 이동합니다. 여기는 TLS에 대한 서버의 프라이빗 키를 저장하는 디렉터리입니다. 기존 호스트 키를 사용하여 CSR을 생성하려면 3단계로 건너뜁니다.

  2. (선택 사항) 새 프라이빗 키를 생성합니다. 다음은 몇 가지 키 구성 샘플입니다. 어떤 결과 키도 웹 서버에서 사용할 수 있지만 보안 구현의 정도와 유형은 각각 다릅니다.

    • 예 1: 기본 RSA 호스트 키를 만듭니다. 결과 파일인 custom.key는 2048비트 RSA 프라이빗 키입니다.

      [ec2-user ~]$ sudo openssl genrsa -out custom.key
    • 예 2: 더 큰 모듈러스로 더 강력한 RSA 키를 만듭니다. 결과 파일인 custom.key는 4096비트 RSA 프라이빗 키입니다.

      [ec2-user ~]$ sudo openssl genrsa -out custom.key 4096
    • 예 3: 암호로 보호되는 4096비트 암호화 RSA 키를 생성합니다. 그러면 AES-128 암호화로 암호화된 4096비트 RSA 프라이빗 키인 custom.key 파일이 생성됩니다.

      중요

      키 암호화를 통해 보안을 강화할 수 있지만, 암호화된 키에는 암호가 필요하기 때문에 이를 사용하는 서비스는 자동으로 시작할 수 없습니다. 이 키를 사용할 때마다 SSH 연결을 통해 암호(위의 예에서는 "abcde12345")를 제공해야 합니다.

      [ec2-user ~]$ sudo openssl genrsa -aes128 -passout pass:abcde12345 -out custom.key 4096
    • 예 4: 비 RSA 암호를 사용하여 키를 생성합니다. RSA 암호화는 두 개의 라지 소수의 결과를 기반으로 하는 공개 키의 크기 때문에 상대적으로 느릴 수 있습니다. 그러나 RSA 암호화 이외의 암호화를 사용하는 TLS의 키를 생성할 수 있습니다. 타원 곡선 수학을 기반으로 하는 키는 동등한 보안 수준을 제공할 때보다 작고 산술적으로 빠릅니다.

      [ec2-user ~]$ sudo openssl ecparam -name prime256v1 -out custom.key -genkey

      그 결과는 OpenSSL에서 지원하는 "명명된 곡선"인 prime256v1을 사용하는 256비트 타원 곡선 프라이빗 키입니다. NIST에 따르면 이 키의 암호화 강도는 2048비트 RSA 키보다 약간 더 높습니다.

      참고

      모든 CA에서 타원 곡선 기반 키에 대해 RSA 키와 동등한 수준의 지원을 제공하지는 않습니다.

    새 프라이빗 키의 소유권 및 권한은 매우 제한적(소유자=루트, 그룹=루트, 소유자 전용 읽기/쓰기)이어야 합니다. 명령은 다음 예에서와 같습니다.

    [ec2-user ~]$ sudo chown root:root custom.key [ec2-user ~]$ sudo chmod 600 custom.key [ec2-user ~]$ ls -al custom.key

    이 명령의 결과는 다음과 같아야 합니다.

    -rw------- root root custom.key

    만족스러운 키를 생성 및 구성한 후 CSR을 생성할 수 있습니다.

  3. 원하는 키를 사용하여 CSR을 생성합니다. 다음 예에는 custom.key가 사용됩니다.

    [ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

    OpenSSL은 대화 상자를 열고 아래 표의 정보를 입력하라는 메시지를 표시합니다. 도메인에서 확인된 기본 호스트 인증서의 경우 Common Name을 제외한 모든 필드는 선택 사항입니다.

    이름 설명
    국가 이름 해당 국가의 두 자리 ISO 약자. US(=미국)
    주 또는 지방 이름 해당 조직이 위치한 주 또는 지방의 이름. 이 이름은 약어로 사용할 수 없음. 워싱턴
    시 이름 조직의 위치(예: 도시). Seattle
    조직 이름 해당 조직의 정식 이름. 조직 이름의 약칭을 사용하지 마십시오. Example Corporation
    조직 단위 이름 조직에 대한 추가 정보(있는 경우). 부서 예
    일반 이름

    이 값은 사용자가 브라우저에 입력해야 하는 웹 주소와 정확히 일치해야 합니다. 일반적으로 이는 www.example.com의 형식으로, 호스트 이름 또는 별칭이 앞에 붙는 도메인 이름을 뜻합니다. 자체 서명된 인증서로 DNS 확인 없이 테스트하는 경우, 일반 이름은 호스트 이름만으로 구성될 수 있습니다. CA는 *.example.com과 같이 와일드 카드 이름을 허용하는 비싼 인증서도 제공합니다.

    www.example.com
    이메일 주소 서버 관리자의 이메일 주소. someone@example.com

    마지막으로 OpenSSL은 챌린지 암호(선택 사항)를 입력하라는 메시지를 표시합니다. 이 암호는 해당 CSR 및 사용자와 해당 CA 간의 트랜잭션에만 적용되므로, 암호 및 기타 선택적 필드(선택적 회사 이름)에 대한 해당 CA의 권장 사항을 따릅니다. CSR 챌린지 암호는 서버 작업에 영향을 미치지 않습니다.

    결과 파일인 csr.pem에는 퍼블릭 키, 퍼블릭 키의 디지털 서명 및 입력한 메타데이터가 포함되어 있습니다.

  4. CA에 CSR을 제출합니다. 이는 보통 텍스트 편집기에서 CSR 파일을 열고 웹 양식에 내용을 복사하는 것으로 구성됩니다. 이때 인증서에 추가할 하나 이상의 주체 대체 이름(SAN)을 입력하라는 메시지가 나타날 수 있습니다. www.example.com이 일반 이름일 경우, example.com은 좋은 SAN이며, 그 반대의 경우도 마찬가지입니다. 사이트 방문자는 이 이름 중 하나를 입력하면 오류 없이 연결됩니다. CA 웹 양식에서 이를 허용하는 경우, SAN 목록에 일반 이름을 포함시킵니다. 일부 CA는 이를 자동으로 포함시킵니다.

    요청이 승인되면 CA에서 서명한 새 호스트 인증서를 받게 됩니다. CA의 신뢰 체인을 완료하는 데 필요한 추가 인증서가 포함된 중간 인증서 파일을 다운로드하라는 안내를 받을 수도 있습니다.

    참고

    CA는 다양한 목적을 위해 마련된 여러 형식의 파일을 보낼 수 있습니다. 본 자습서에서는 PEM 형식의 인증서 파일만 사용해야 하는데, 이는 보통 .pem 또는 .crt 파일 확장명으로 표시되지만 항상 그런 것은 아닙니다. 어떤 파일을 사용할지 확실하지 않은 경우 텍스트 편집기로 파일을 열고 다음 라인으로 시작되는 블록 하나 이상이 포함되는 파일을 찾습니다.

    - - - - -BEGIN CERTIFICATE - - - - -

    또한 파일은 다음 라인으로 끝나야 합니다.

    - - - -END CERTIFICATE - - - - -

    또한 명령줄의 파일을 다음과 같이 테스트할 수 있습니다.

    [ec2-user certs]$ openssl x509 -in certificate.crt -text

    이 줄이 파일에 나타나는지 확인하십시오. .p7b, .p7c, 또는 유사한 파일 확장명으로 끝나는 파일을 사용하지 않습니다.

  5. /etc/pki/tls/certs 디렉터리에 CA가 서명한 새 인증서와 모든 중간 인증서를 배치합니다.

    참고

    여러 가지 방법으로 새 인증서를 EC2 인스턴스에 업로드할 수 있지만, 가장 간편하고 유익한 방법은 텍스트 편집기(예: vi, nano, 메모장)를 로컬 컴퓨터와 인스턴스에 모두 열고 두 편집기 간에 파일 콘텐츠를 복사하여 붙이는 것입니다. EC2 인스턴스에서 이러한 작업을 수행할 때 루트 [sudo] 권한이 필요합니다. 이렇게 하면 권한 또는 경로 문제가 있는 경우 즉시 확인할 수 있습니다. 하지만 콘텐츠를 복사하는 동안 라인을 추가하거나 어떤 식으로든 콘텐츠를 변경하지 않도록 주의하십시오.

    /etc/pki/tls/certs 디렉터리 내에서 파일 소유권, 그룹 및 권한 설정이 매우 제한적인 Amazon Linux 2 기본값(소유자=루트, 그룹=루트, 소유자 전용 읽기/쓰기)과 일치하는지 확인합니다. 다음 예제는 사용하는 명령을 보여 줍니다.

    [ec2-user certs]$ sudo chown root:root custom.crt [ec2-user certs]$ sudo chmod 600 custom.crt [ec2-user certs]$ ls -al custom.crt

    이 명령의 결과는 다음과 같아야 합니다.

    -rw------- root root custom.crt

    중간 인증서 파일에 대한 권한은 덜 엄격합니다(소유자=루트, 그룹=루트, 소유자 쓰기 가능, 그룹 읽기 가능, 모든 사용자 읽기 가능). 다음 예제는 사용하는 명령을 보여 줍니다.

    [ec2-user certs]$ sudo chown root:root intermediate.crt [ec2-user certs]$ sudo chmod 644 intermediate.crt [ec2-user certs]$ ls -al intermediate.crt

    이 명령의 결과는 다음과 같아야 합니다.

    -rw-r--r-- root root intermediate.crt
  6. /etc/pki/tls/private/ 디렉터리에서 CSR을 생성할 때 사용한 프라이빗 키를 배치합니다.

    참고

    여러 가지 방법으로 사용자 지정 키를 EC2 인스턴스에 업로드할 수 있지만, 가장 간편하고 유익한 방법은 텍스트 편집기(예: vi, nano, 메모장)를 로컬 컴퓨터와 인스턴스에 모두 열고 두 편집기 간에 파일 콘텐츠를 복사하여 붙이는 것입니다. EC2 인스턴스에서 이러한 작업을 수행할 때 루트 [sudo] 권한이 필요합니다. 이렇게 하면 권한 또는 경로 문제가 있는 경우 즉시 확인할 수 있습니다. 하지만 콘텐츠를 복사하는 동안 라인을 추가하거나 어떤 식으로든 콘텐츠를 변경하지 않도록 주의하십시오.

    /etc/pki/tls/private 디렉터리 내에서 파일 소유권, 그룹 및 권한 설정이 매우 제한적인 Amazon Linux 2 기본값(소유자=루트, 그룹=루트, 소유자 전용 읽기/쓰기)과 일치하는지 다음 명령을 사용하여 확인합니다.

    [ec2-user private]$ sudo chown root:root custom.key [ec2-user private]$ sudo chmod 600 custom.key [ec2-user private]$ ls -al custom.key

    이 명령의 결과는 다음과 같아야 합니다.

    -rw------- root root custom.key
  7. 새 인증서 및 키 파일을 반영하기 위해 /etc/httpd/conf.d/ssl.conf를 편집합니다.

    1. Apache의 SSLCertificateFile 명령에 CA가 서명한 호스트 인증서의 경로와 파일 이름을 입력합니다.

      SSLCertificateFile /etc/pki/tls/certs/custom.crt
    2. 중간 인증서 파일을 받은 경우(이 예에서는 intermediate.crt), Apache의 SSLCACertificateFile 명령을 사용하여 경로 및 파일 이름을 입력합니다.

      SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

      참고

      일부 CA는 호스트 인증서와 중간 인증서를 단일 파일로 결합하기 때문에 SSLCACertificateFile 명령이 불필요합니다. CA가 제공한 지침을 참조하십시오.

    3. Apache의 SSLCertificateKeyFile 명령에 프라이빗 키(이 예에서는 custom.key)의 경로와 파일 이름을 입력합니다.

      SSLCertificateKeyFile /etc/pki/tls/private/custom.key
  8. /etc/httpd/conf.d/ssl.conf를 저장하고 Apache를 다시 시작합니다.

    [ec2-user ~]$ sudo systemctl restart httpd
  9. https:// 접두사가 포함된 브라우저 URL 막대에 도메인 이름을 입력하여 서버를 테스트합니다. 브라우저에서는 테스트 페이지가 오류 생성 없이 HTTPS를 통해 로드되어야 합니다.

3단계: 보안 구성 테스트 및 강화

TLS이 작동되고 일반에 공개된 후 이의 실제 보안 수준을 테스트해야 합니다. 보안 설정을 무료로 완벽하게 분석해 주는 Qualys SSL Labs와 같은 온라인 서비스를 사용하면 이를 손쉽게 수행할 수 있습니다. 그 결과에 따라 수용할 프로토콜, 원하는 암호 및 제외할 암호를 관리하여 기본 보안 구성을 강화할 수 있습니다. 자세한 내용은 how Qualys formulates its scores 단원을 참조하십시오.

중요

실제 테스트는 서버 보안에 매우 중요합니다. 구성상의 작은 오류가 심각한 보안 침해 및 데이터 손실로 이어질 수 있습니다. 권장되는 보안 사례는 연구 및 새롭게 생겨나는 위협에 대처하기 위해 끊임없이 변화하므로 보안 감사를 주기적으로 실시하는 것이 서버 관리에 필수적입니다.

Qualys SSL Labs 사이트에 www.example.com 형식으로 서버의 정규화된 도메인 이름을 입력합니다. 약 2분 후 사이트 등급(A - F) 및 확인된 상세 분석 결과를 받게 됩니다. 아래 표에 Amazon Linux 2 및 기본 Certbot 인증서의 기본 Apache 구성과 설정이 동일한 도메인에 대한 보고서가 요약되어 있습니다.

종합 등급 B
Certificate 100%
프로토콜 지원 95%
키 교환 70%
암호화 수준 90%

개요에서 구성이 대체로 문제가 없어 보여도 세부 정보 보고서에서는 몇몇 잠재적 문제를 여기에 심각도 순서로 나열하여 표시합니다.

RC4 암호는 오래된 특정 브라우저에서 사용하도록 지원됩니다. 암호는 암호화 알고리즘의 수학적 핵심입니다. TLS 데이터 스트림을 암호화하는 데 사용하는 빠른 암호인 RC4에는 몇 가지 심각한 취약점이 있는 것으로 알려져 있습니다. 타당한 레거시 브라우저 지원 사유가 없다면 비활성화해야 합니다.

이전의 TLS 버전이 지원됩니다. 구성에서는 TLS 1.0(이미 사용 중지 상태)과 TLS 1.1(사용 중지 절차 진행 중)을 지원합니다. 2018년부터는 TLS 1.2만 권장됩니다.

전방향 보안은 부분적으로 지원됩니다. 전방향 보안은 프라이빗 키에서 파생된 임시(사용 후 삭제) 세션 키를 사용하여 암호화하는 알고리즘의 기능입니다. 이는 실제 공격자가 웹 서버의 장기 프라이빗 키를 보유하고 있더라도 HTTPS 데이터의 암호를 해독할 수 없다는 것을 뜻합니다.

TLS 구성을 수정하고 향후에 대비하려면

  1. 텍스트 편집기에서 /etc/httpd/conf.d/ssl.conf 구성 파일을 열고 다음 줄의 시작 부분에 "#"을 입력하여 해당 줄을 주석으로 처리합니다.

    #SSLProtocol all -SSLv3
  2. 다음 명령을 추가합니다.

    #SSLProtocol all -SSLv3 SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

    이러한 명령은 SSL 버전 2 및 3과 TLS 버전 1.0 및 1.1을 명시적으로 비활성화합니다. 이제 이 서버는 TLS 1.2 이외의 프로토콜을 사용하는 클라이언트와의 암호화된 연결을 허용하지 않습니다. 명령의 상세 내용은 서버의 구성 내용을 사람에게 더욱 명확히 전달합니다.

    참고

    이러한 방식으로 TLS 버전 1.0 및 1.1을 비활성화하면 적은 비율의 오래된 웹 브라우저가 사이트에 액세스하지 못하도록 차단합니다.

허용된 암호의 목록을 수정하려면

  1. 구성 파일인 /etc/httpd/conf.d/ssl.conf에서 SSLCipherSuite 명령이 포함된 섹션을 찾고 기존의 줄을 줄의 시작에 “#”을 입력하여 주석으로 처리합니다.

    #SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
  2. 명시적 암호 그룹과 전방향 보안을 우선순위에 두고 부정확한 암호를 방지하는 암호 오더를 지정합니다. 여기에 사용된 SSLCipherSuite 명령은 서버에서 실행되는 특정 소프트웨어에 맞게 TLS 구성을 조정하는 Mozilla SSL Configuration Generator의 출력에 기반합니다. (자세한 내용은 Mozilla의 Security/Server Side TLS(보안/서버 측 TLS)를 참조하십시오.) 먼저 다음 명령의 출력을 사용하여 Apache와 OpenSSL의 버전을 확인합니다.

    [ec2-user ~]$ yum list installed | grep httpd [ec2-user ~]$ yum list installed | grep openssl

    예를 들어, 반환된 정보가 Apache 2.4.34 및 OpenSSL 1.0.2인 경우 이를 생성기에 입력합니다. "현대" 호환성 모델을 선택하면 적극적으로 보안을 적용하지만 대부분의 브라우저에서 여전히 작동하는 SSLCipherSuite 명령을 생성합니다. 소프트웨어가 최신 구성을 지원하지 않으면 소프트웨어를 업데이트하거나 대신 "중간" 구성을 선택할 수 있습니다.

    SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305: ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256: ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

    선택된 암호에는 이름에 Elliptic Curve Diffie-Hellman Ephemeral의 약자인 ECDHE가 포함되어 있습니다. ephemeral은 전방향 보안을 나타냅니다. 부차적 결과로서 해당 암호는 RC4를 지원하지 않습니다.

    내용이 표시되지 않는 기본값 또는 terse 명령 대신 명시적 암호 목록을 사용하는 것이 좋습니다.

    생성된 명령을 /etc/httpd/conf.d/ssl.conf에 복사합니다.

    참고

    여기에서는 가독성을 위해 여러 줄로 표시했지만, 이 명령은 /etc/httpd/conf.d/ssl.conf에 복사할 때 암호 이름 사이에 공백 없이 콜론만을 추가하여 한 줄에 입력해야 합니다.

  3. 마지막으로 줄 시작 부분에 있는 "#"을 제거하여 다음 줄의 주석 처리를 해제합니다.

    #SSLHonorCipherOrder on

    이 명령은 (이 예에서는) 전방향 보안을 지원하는 암호를 포함하여 서버에서 순위가 높은 암호를 선호하도록 합니다. 이 명령이 설정되면 서버는 먼저 강력한 보안 연결 설정을 시도해 본 후 보안이 더 약한 허용된 암호로 대체합니다.

이 두 절차를 모두 완료한 다음에는 변경 사항을 /etc/httpd/conf.d/ssl.conf에 저장하고 Apache를 재시작합니다.

Qualys SSL Labs에서 도메인을 다시 테스트하면 RC4 취약성과 다른 경고 문제가 해결되고 요약은 다음과 같을 것입니다.

종합 등급 A
Certificate 100%
프로토콜 지원 100%
키 교환 90%
암호화 수준 90%

중요

OpenSSL을 업데이트할 때마다 새 암호가 사용되고 이전 암호에 대한 지원은 제거됩니다. EC2 Amazon Linux 2 인스턴스를 최신으로 유지하고, OpenSSL의 보안 알림을 잘 확인하며, 기술 정보 신문의 새 보안 취약점에 대한 보고를 잘 살핍니다. 자세한 정보는 Classic Load Balancer 사용 설명서Predefined SSL Security Policies for Elastic Load Balancing 단원을 참조하십시오.

문제 해결

  • 암호를 입력하지 않으면 Apache 웹 서버가 시작하지 않습니다.

    암호화되고 암호로 보호되는 프라이빗 서버 키를 설치한 경우 이는 예상된 동작입니다.

    키에서 암호화 및 암호 요구 사항을 제거할 수 있습니다. 기본 디렉터리에 custom.key라는 암호화된 프라이빗 RSA 키가 있고 이 키의 암호가 abcde12345라고 가정하면, EC2 인스턴스에서 다음 명령을 실행하여 이 키의 암호화되지 않은 버전을 생성합니다.

    [ec2-user ~]$ cd /etc/pki/tls/private/ [ec2-user private]$ sudo cp custom.key custom.key.bak [ec2-user private]$ sudo openssl rsa -in custom.key -passin pass:abcde12345 -out custom.key.nocrypt [ec2-user private]$ sudo mv custom.key.nocrypt custom.key [ec2-user private]$ sudo chown root:root custom.key [ec2-user private]$ sudo chmod 600 custom.key [ec2-user private]$ sudo systemctl restart httpd

    이제 Apache가 암호를 묻지 않고 시작할 것입니다.

  • sudo yum install -y mod_ssl을 실행하면 오류가 발생합니다.

    SSL에 필요한 패키지를 설치하려 할 때 다음과 같은 오류가 표시될 수 있습니다.

    Error: httpd24-tools conflicts with httpd-tools-2.2.34-1.16.amzn1.x86_64 Error: httpd24 conflicts with httpd-2.2.34-1.16.amzn1.x86_64

    이 오류는 일반적으로 EC2 인스턴스에서 Amazon Linux 2가 실행되고 있지 않음을 의미합니다. 이 자습서는 공식 Amazon Linux 2 AMI에서 새로 생성된 인스턴스만 지원합니다.

인증서 자동화: Amazon Linux 2에서 Cerbot의 Let’s Encrypt

Let's Encrypt 인증 기관은 전체 인터넷을 암호화하기 위한 EFF(Electronic Frontier Foundation) 작업의 중요한 부분입니다. 그 목표에 따라, Let's Encrypt 호스트 인증서는 사용자의 개입을 최소화하면서 생성, 검증, 설치 및 유지되도록 설계되었습니다. 인증서 관리의 자동화된 측면은 웹 서버에서 실행되는 소프트웨어 에이전트에 의해 수행됩니다. 에이전트를 설치 및 구성한 후 Let's Encrypt와 안전하게 통신하고 Apache 및 키 관리 시스템에서 관리 작업을 수행합니다. 본 자습서에서는 사용자 지정된 암호화 키를 인증서의 기반으로 공급할 수 있거나 에이전트 자체가 기본값에 따라 키를 생성할 수 있기 때문에 무료 Certbot 에이전트를 사용합니다. 또한 Certbot이 Certbot을 자동화하려면에서 설명한 대로 사용자의 상호 작용 없이 정기적으로 인증서를 갱신하도록 구성할 수 있습니다. 자세한 내용은 Certbot User Guideman page를 참조하십시오.

Certbot은 Amazon Linux 2에서 공식적으로 지원되지 않지만 다운로드가 가능하고 설치하면 제대로 작동합니다. 다음과 같이 백업을 만들어 데이터를 보호하고 불편을 피하는 것이 좋습니다.

  • 시작하기 전에 Amazon EBS 루트 볼륨의 스냅샷을 만듭니다. 이를 통해 EC2 인스턴스의 원래 상태를 복원할 수 있습니다. EBS 스냅샷에 대한 자세한 내용은 Amazon EBS 스냅샷 만들기을 참조하십시오.

  • 아래 절차의 경우 Apache의 운영을 제어하는 httpd.conf 파일을 편집해야 합니다. Certbot은 이 파일과 기타 구성 파일을 고유하게 자동 변경합니다. 복원이 필요한 경우에 대비해 전체 /etc/httpd 디렉터리 백업 복사본을 만드십시오.

설치 준비

Certbot을 설치하기 전에 다음 절차를 완료합니다.

  1. EPEL(Extra Packages for Enterprise Linux) 7 리포지토리 패키지를 다운로드합니다. Certbot에 필요한 종속성을 공급하는 데 필요합니다.

    1. 홈 디렉터리(/home/ec2-user)로 이동합니다. 다음 명령으로 EPEL을 다운로드합니다.

      [ec2-user ~]$ sudo wget -r --no-parent -A 'epel-release-*.rpm' http://dl.fedoraproject.org/pub/epel/7/x86_64/Packages/e/
    2. 다음 명령과 같이 리포지토리 패키지를 설치합니다.

      [ec2-user ~]$ sudo rpm -Uvh dl.fedoraproject.org/pub/epel/7/x86_64/Packages/e/epel-release-*.rpm
    3. 다음 명령과 같이 EPEL을 활성화합니다.

      [ec2-user ~]$ sudo yum-config-manager --enable epel*

      다음 명령을 사용하여 EPEL이 활성화되었는지 확인할 수 있습니다. 그러면 다음과 비슷한 정보가 반환됩니다.

      [ec2-user ~]$ sudo yum repolist all ... epel/x86_64 Extra Packages for Enterprise Linux 7 - x86_64 enabled: 12949+175 epel-debuginfo/x86_64 Extra Packages for Enterprise Linux 7 - x86_64 - Debug enabled: 2890 epel-source/x86_64 Extra Packages for Enterprise Linux 7 - x86_64 - Source enabled: 0 epel-testing/x86_64 Extra Packages for Enterprise Linux 7 - Testing - x86_64 enabled: 778+12 epel-testing-debuginfo/x86_64 Extra Packages for Enterprise Linux 7 - Testing - x86_64 - Debug enabled: 107 epel-testing-source/x86_64 Extra Packages for Enterprise Linux 7 - Testing - x86_64 - Source enabled: 0 ...
  2. Apache 구성 파일인 /etc/httpd/conf/httpd.conf를 편집합니다. "listen 80" 명령을 찾고 다음 줄을 추가하여 예시 도메인 이름을 일반 이름 및 주체 대체 이름(SAN)으로 교체합니다.

    <VirtualHost *:80> DocumentRoot "/var/www/html" ServerName "example.com" ServerAlias "www.example.com" </VirtualHost>

    파일을 저장하고 Apache를 다시 시작합니다.

    [ec2-user ~]$ sudo systemctl restart httpd

Certbot 설치 및 실행

이 절차는 FedoraRHEL 7에 Certbot 설치에 대한 EFF의 문서를 기반으로 합니다. Certbot의 기본 사용 및 결과로 얻은 2048비트 RSA 키에 기반을 둔 인증서에 대해 설명합니다. 사용자 지정 키를 실험하려면 Let's Encrypt에 ECDSA 인증서 사용부터 시작할 수 있습니다.

  1. 다음 명령을 사용하여 Certbot 패키지 및 종속성을 설치합니다.

    [ec2-user ~]$ sudo yum install -y certbot python2-certbot-apache
  2. Certbot을 실행합니다.

    [ec2-user ~]$ sudo certbot
  3. "Enter email address (used for urgent renewal and security notices)," 프롬프트에서 연락처 주소를 입력하고 Enter 키를 누릅니다.

  4. 프롬프트에서 Let's Encrypt 서비스 계약 조건에 동의합니다. 진행하려면 "A"를 입력하고 Enter 키를 누릅니다.

    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Please read the Terms of Service at https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must agree in order to register with the ACME server at https://acme-v02.api.letsencrypt.org/directory - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - (A)gree/(C)ancel: A
  5. EFF 권한 부여에서 "Y" 또는 "N"를 입력하여 메일 발송 목록에 포함시키고 Enter 키를 누릅니다.

  6. Certbot은 VirtualHost 블록에 입력한 일반 이름 및 주체 대체 이름(SAN)을 표시합니다.

    Which names would you like to activate HTTPS for? - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 1: example.com 2: www.example.com - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Select the appropriate numbers separated by commas and/or spaces, or leave input blank to select all options shown (Enter 'c' to cancel):

    입력란을 공백으로 남겨 두고 Enter를 누릅니다.

  7. Certbot은 인증서를 생성하고 Apache를 구성하면서 다음 출력을 표시합니다. 그런 다음 HTTPS로의 HTTP 쿼리 리디렉션 메시지가 표시됩니다.

    Obtaining a new certificate Performing the following challenges: http-01 challenge for example.com http-01 challenge for www.example.com Waiting for verification... Cleaning up challenges Created an SSL vhost at /etc/httpd/conf/httpd-le-ssl.conf Deploying Certificate for example.com to VirtualHost /etc/httpd/conf/httpd-le-ssl.conf Enabling site /etc/httpd/conf/httpd-le-ssl.conf by adding Include to root configuration Deploying Certificate for www.example.com to VirtualHost /etc/httpd/conf/httpd-le-ssl.conf Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 1: No redirect - Make no further changes to the webserver configuration. 2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for new sites, or if you're confident your site works on HTTPS. You can undo this change by editing your web server's configuration. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

    방문자가 암호화되지 않은 HTTP를 통해 서버에 연결하는 것을 허용하려면 "1"을 입력합니다. HTTPS를 통한 암호화된 연결만을 허용하고자 하는 경우 "2"를 입력합니다. Enter 키를 눌러 선택을 제출합니다.

  8. Certbot은 Apache의 구성을 완료하고 성공 및 기타 정보를 보고합니다.

    Congratulations! You have successfully enabled https://example.com and https://www.example.com You should test your configuration at: https://www.ssllabs.com/ssltest/analyze.html?d=example.com https://www.ssllabs.com/ssltest/analyze.html?d=www.example.com - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - IMPORTANT NOTES: - Congratulations! Your certificate and chain have been saved at: /etc/letsencrypt/live/certbot.oneeyedman.net/fullchain.pem Your key file has been saved at: /etc/letsencrypt/live/certbot.oneeyedman.net/privkey.pem Your cert will expire on 2019-08-01. To obtain a new or tweaked version of this certificate in the future, simply run certbot again with the "certonly" option. To non-interactively renew *all* of your certificates, run "certbot renew" - Your account credentials have been saved in your Certbot configuration directory at /etc/letsencrypt. You should make a secure backup of this folder now. This configuration directory will also contain certificates and private keys obtained by Certbot so making regular backups of this folder is ideal.
  9. 설치를 완료한 후 3단계: 보안 구성 테스트 및 강화에서 설명한 대로 서버의 보안을 테스트 및 최적화합니다.

자동화된 인증서 갱신 구성

Certbot은 서버 시스템의 표시되지 않고 오류를 방지하는 부분이 되도록 설계되었습니다. 기본적으로 만료 시간이 90일로 짧은 호스트 인증서를 생성합니다. 이 명령을 자동으로 호출하도록 시스템을 구성하지 않은 경우 만료 전에 certbot 명령을 수동으로 다시 실행해야 합니다. 이 절차는 cron 작업을 설정하여 Certbot을 자동화하는 방법을 보여줍니다.

Certbot을 자동화하려면

  1. 텍스트 편집기로 /etc/crontab 파일을 열고 다음과 유사한 행을 추가합니다.

    39 1,13 * * * root certbot renew --no-self-upgrade

    작업을 마치면 파일을 저장합니다. 다음은 명령의 각 구성에 대한 설명입니다.

    39 1,13 * * *

    명령이 매일 01:39와 13:39에 실행되도록 예약합니다. 선택한 값은 임의이지만 Certbot 개발자는 최소한 매일 두 번 명령을 실행하는 것을 제안합니다. 이를 통해 손상된 것으로 발견된 모든 인증서가 즉시 취소 및 교체됩니다.

    root

    명령은 루트 권한으로 실행됩니다.

    certbot renew --no-self-upgrade

    실행할 명령입니다. renew 하위 명령을 사용하면 Certbot이 이전에 얻은 모든 인증서가 점검하고 만료 날짜가 다가오고 있는 인증서를 갱신합니다. --no-self-upgrade 플래그를 사용하면 Certbot이 사용자의 개입 없이 자체 업그레이드하지 않습니다.

  2. cron 데몬을 다시 시작합니다.

    [ec2-user ~]$ sudo systemctl restart crond