::::: 해커즈뉴스 / 해커몰 :::::

해커즈뉴스 / 해커대학

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

공지

1. MS 엣지 브라우저에서의 경고창은 '윈도우 디펜더'를 끄시면 됩니다.

'윈도우 디펜더 끄기'

2. 크롬 브라우저로 접속시 나오는 악성코드 경고창은 구글 크롬의 에러, 즉 오탐(탐지 오류)이므로 무시하시면 됩니다.

3. 이 사이트는 안전하며 깨끗하다는 것을 알려 드립니다.

4. 무고한 사이트들에 대한 공룡 기업 브라우저들의 무차별적인 '탐지 오류 횡포'가 사용자들의 정보 공유의 자유를 침해하고 있습니다. 이에 대응하여 이 기업들을 상대로 소송을 준비하고 있습니다.


	설치 팁 자료실

APACHE 팁

이름: 해커즈뉴스

apache + mod_ssl 이용하기

================================================
apache + mod_ssl 이용하기
================================================
작성자 : 문태준 (http://tunelinux.pe.kr)
작성일 : 2002. 12. 21
================================================

본 자료는 보안을 위해 apache 와 mod_ssl을 이용하는 방법에 대해 간략히 설명한다.

ㅇ 참고자료 및 사이트:
http://www.openssl.org/
http://www.modssl.org/
mod_ssl 소스 디렉토리의 INSTALL 문서

Certificate Server의 설치 와 Client인증
http://kldp.org/KoreanDoc/html/OpenSSL-KLDP/OpenSSL-KLDP.html

SSL Certificates HOWTO
http://kldp.org/HOWTO/html/SSL-Certificates-HOWTO/

리눅스 보안과 최적화 완벽 솔루션(한빛미디어 역)

ㅇ openssl 설정하기
redhat 계열에서 openssl을 rpm으로 설치한 경우 관련파일들이 /usr/share/ssl에 설치된다.
/usr/share/ssl/openssl.conf 를 먼저 설정한다.
(** 참고로 freebsd에 기본 들어있는 설정 예제 파일도 아래와 디렉토리는 비슷하다. freebsd에서는 apache 패키지와는 별도로 포트에 apache 1.3 + mod_ssl 패키지가 별도로 존재하므로 이를 이용하면 될 것이다)

[ CA_default ]

dir = ./demoCA # Where everything is kept
certs = $dir/certs # Where the issued certs are kept
crl_dir = $dir/crl # Where the issued crl are kept
database = $dir/index.txt # database index file.
new_certs_dir = $dir/newcerts # default place for new certs.

certificate = $dir/cacert.pem # The CA certificate
serial = $dir/serial # The current serial number
crl = $dir/crl.pem # The current CRL
private_key = $dir/private/cakey.pem# The private key
RANDFILE = $dir/private/.rand # private random number file

위에서는 관련파일을 ssl/demoCA 로 설정하고 있다. 디렉토리를 생성해주어야한다.
이 디렉토리밑에 certs, crl, newcerts, private 디렉토리를 생성한다.
그리고 필요한 파일을 아래와 같이 생성한다.

echo '01' > serial
touch index.txt

private key 는 해당 서버에 대한 비밀키이다.
certificate 는 해당 서버에 대한 공개키이다.

위에서 설정한 내용은 자체적으로 CA 서버를 운영하기 위해서 필요하며 apache에서 사용을 하기 위해서 반드시 거쳐야 하는 내용은 아니다. apache와 mod_ssl에서는 openssl을 이용하여 서버인증을 위한 자체 키를 생성하면 된다. 그러나 자체 CA를 이용하여 사인을 하려고 한다면 필요하다.

apache 에서 ssl사용을 위해서 비밀키와 공개키를 생성해 주어야 한다.
이는 나중에 apache에서 사용을 하게 된다.

# openssl genrsa -des3 -out test.co.kr.key 1024
(여기서 -des3 옵션을 쓰고 apache에서 활용하는 경우 비밀번호를 입력해야 한다. -des3 옵션을 사용하지 않으면 보안상 더 위험해지기는 하지만 이런 불편은 없다)

이제 인증요청서(CSR)를 생성한다.
# openssl req -new -key test.co.kr.key -out test.co.kr.csr

Common Name (eg, your name or your server's hostname) []:test.co.kr

여기에 정확한 호스트명(FQDN)을 입력해야한다.

여기서 생성한 CSR을 이용하여 공인 인증기관(CA)에서 사인을 받아 실제 인증서를 사용할 수 있다.

그렇지만 CA를 이용하지 않고 자체적으로 CA 서버를 운영할 수 있다. 물론 사람들이 이에 대한 신뢰성을 떨어지겠지만.

자체적으로 CA 서버를 운영하기 위해서는 비밀키를 생성하고 여기에 자가 서멍하며 인증서를 만들면 된다. 그러고나서 앞에서 자신의 웹사이트에 사용할 목적으로 만든 CSR을 사인하면 된다.

비밀키 생성
# openssl genrsa -des3 -out ca.key 1024

자가서명된 인증서 생성
# openssl req -new -x509 -days 365 -key ca.key -out ca.crt

이제 자체적으로 만든 CA의 인증서를 이용하여 CSR에 사인을 하자.
앞에서 openssl.conf가 적절하게 설정되어 있어야 한다.
ca.crt와 ca.key을 해당 디렉토리로 옮기고 conf 파일을 수정한다.

certificate = $dir/certs/ca.crt # The CA certificate
private_key = $dir/private/ca.key # The private key

인증서에 사인을 하고 확인을 한다.

# openssl ca -policy policy_anything -out test.co.kr.crt -infiles test.co.kr.csr
# openssl verify -CAfile /usr/share/ssl/demoCA/certs/ca.crt test.co.kr.crt
test.co.kr.crt: OK

자체 CA를 이용하지 않는 경우에는 위에서 생성한 test.co.kr.csr을 공인인증기관에 보내서 그곳에서 test.co.kr.crt 파일을 받게 될 것이다.

위에서 생성한 test.co.kr.key 와 test.co.kr.crt 파일도 적절하게 옮겨준다.

이것을 apache의 httpd.conf 파일에 등록하여 주면 된다. 이 부분은 나중에 설명.

SSLCertificateFile /usr/share/ssl/demoCA/certs/test.co.kr.crt
SSLCertificateKeyFile /usr/share/ssl/demoCA/private/test.co.kr.key

csr 파일은 지워도 된다.

ㅇ apache 및 mod_ssl 설정
apache 와 mod_ssl을 /usr/local/src에 풀었다고 가정한다.
mod_ssl 소스 디렉토리로 이동한다.
# cd mod_ssl-xxx/
# ./configure \
--with-apache=../apache_1.3.x \
--with-crt=/usr/share/ssl/demoCA/certs/test.co.kr.crt \
--with-key=/usr/share/ssl/demoCA/private/test.co.kr.key

이를 통해 apache에 mod_ssl 관련한 부분을 자동으로 추가해준 것이다. 위 과정을 통하여 apache에서 mod_ssl을 사용할 수 있도록 패치해준다.
(별도로 make , make install 등은 필요하지 않다)

# cd apache-xx
# SSL_BASE=SYSTEM \
./configure \
--prefix=/usr/local/apache \
--enable-module=ssl \
--enable-rule=SSL_SDBM \
--disable-rule=SSL_COMPAT

(** SSL_BASE 에서 openssl을 소스로 설치했다면 소스가 있는 디렉토리를 지정하면 된다. rpm으로 설치했다면 SYSTEM으로 지정해도 된다)
(** 위의 옵션에 대해서는 INSTALL.SSL 파일에 자세한 설명이 들어있다)

# make
# make certificate
(** 위에서 관련된 키를 생성하여 주었으므로 여기서는 make certificate 는 실행할 필요가 없다. make certificate 를 실행하면 test cert를 생성하며 테스팅용으로 사용할 수 있다. 이에 대한 내용은 configure를 하고나서 생성된 Makefile에 설명이 나와있으므로 참고하기 바란다. 굳이 앞에서 openssl 과 관련한 부분을 설정하지 않고 바로 apache와 mod_ssl을 이용하고싶다면 사용해도 된다. 일단 편하니깐.)
# make install

일반적인 아파치 설치와는 다르게 /usr/local/apache/conf 디렉토리에 ssl 관련 디렉토리가 생긴다.

drwxr-xr-x 2 root root 4096 12월 22 21:33 ssl.crl/
drwxr-xr-x 2 root root 4096 12월 22 21:33 ssl.crt/
drwxr-xr-x 2 root root 4096 12월 22 21:33 ssl.csr/
drwx------ 2 root root 4096 12월 22 21:33 ssl.key/
drwxr-xr-x 2 root root 4096 12월 22 21:33 ssl.prm/

/usr/local/apache/conf/httpd.conf 파일을 살펴보면

SSLCertificateFile /usr/local/apache/conf/ssl.crt/server.crt
SSLCertificateKeyFile /usr/local/apache/conf/ssl.key/server.key

(여기 있는 파일들은 mod_ssl과 연동하면서 자동으로 설치가 되는 것들이다. test용으로만 사용해야 할 것이다)

이렇게 되어있으며 우리가 직접 생성한 파일을 이용한다면
SSLCertificateFile /usr/share/ssl/demoCA/certs/test.co.kr.crt
SSLCertificateKeyFile /usr/share/ssl/demoCA/private/test.co.kr.key

이렇게 바꾸어 주어야 한다.

apache를 실행시켜보자.
/usr/local/apache/bin/apachectl startssl

https://test.co.kr (이경우에는 /hosts 파일에 등록해놓고 해야 할 것이다)

관련자료를 보지 않고 지금 나와있는 글만 가지고는 이해하기 힘들 것이다. 제일 앞에 관련자료를 적어놓았으니 참고하길 바란다.
이글은 내가 참고용으로만 보는 것이기에.

번호	제 목	첨부	조회

24	WEB Server와 DB 서버 분리해서 운영하기		3705

23	IP 주소 접속을 도메인 주소로 바꾸기		3524

22	아파치 인증사용으로 특정디렉토리에 암호...		2204

21	apache + mod_ssl 이용하기		2156

20	Apache의 chroot운영 및 Jail System		2136

19	디렉토리가 노출될때		1992

18	Apache의 chroot운영 및 Jail System		2013

17	APM(Apache+PHP+MySQL)연동 확인하기		3109

16	아파치 http://localhost/index.html ...		3033

15	Apache 와 PHP 업그레이드 하기		1804

14	아파치설정으로 리눅스기반 아파치웹서버에...		2386

13	PATH_INFO와 ForceType을 이용한 검색엔진 ...		2184