일반적으로 CA를 끼고 하는 인증과 https 통신과정은 다 이해를 했다고 생각 했는데 막상 openSSL 로 개인키와 인증서를 생성해서
테스트 서버를 구동하다보니 몇가지 의문점이 생겨서 고수님들께 몇가지 질문을드리려고 합니다.
1. 도대체 client(browser)는 서버로부터 받은 인증서를 어떻게 복호화 하는가?
CA에게 인증받은 사이트의 https 통신은 다음의 일련의 과정을 거치는 것으로 알고 있습니다.
(1)일반적으로 CA의 개인키로 암호화된 인증서(사이트 정보 + 사이트의 공개키)는 서버에서 가지고 있음
(2)브라우져는 공인된 CA의 공개키를 가지고 있음
(3)client 요청이 들어오면 사이트의 인증서를 서버가 client에게 전송 시킴
(4)client는 공인된CA의 공개키로 CA의 개인키에 의해서 암호화된 사이트의 인증서(사이트정보 + 사이트의 공개키)를 복호화
(5)CA의 공개키로 복호화가 되었으므로 신뢰성을 확인하고 복호화된 사이트의 공개키로 HTTPS 통신 제반요건 확보
대략적으로 위와 같은 순서체계로 진행되는것으로 알고 있습니다..
문제는 서버가 자체 Root CA가 되어 인증서를 만들경우 CA에게 인증받은것이 아니기에 브라우져(client)는 CA의 공개키가 당연히 없는상태에서
client는 사설인증서로 구축된 서버에 접속했을때 똑같이 사설인증서를 전송받는걸로 알고 있습니다.
문제는 도대체 이 사이트 인증서를 어떻게 복호화 하는지요?
사설로 ROOT CA 인 사이트에 접속했을때는 공개키도 같이 서버로부터 전송을 받게 되는 구조 인가요? 그렇지 않고서야 위(4)번부터 어떻게 진행이
되는지 궁금 합니다. 아무리 생각해도 답이 안나와서 고수님들의 지도편달 부탁 드립니다.
클라이언트에서 서버에 접속하면 알수없는 인증서가나올거고요 그 인증서를 클라이언트에 설치하심 공개키가 브라우저에 생성되고 그걸로 데이터 복호화하죠
근데 그 인증서는 서버의 개인키로 암호화 된건데 클라이 언트 측에서 어떻게 복호화를 시키나요?
위에서 말씀하신 '그 인증서를 클라이언트에 설치하심' 이라는 의미를 잘 모르겠습니다 ㅠㅠ
공인ca는 고민에서 빼세요 ㅎ
유튜브 동영상으로 설명해주는걸 보시면 이해가 좀 될꺼에요.
먼저 HTTPS같은거에 쓰이는 방식은 Asymmetric Encryption 이라고 해서 인코딩 키와 디코딩 키가 다릅니다. 하지만 인코딩 키로 디코딩 키를 만들 수 없어요.
그리고 통신이 시작하기 전에 먼저 소개, 인증, 확인 이렇게 세가지를 서로 합니다. 그냥 본인이 만든 인증서같은경우에는 확인이 안되기때문에 보통 처음에 https페이지를 열면 에러같은 경고가 뜨잖아요. 확인은 제3자가 해주는것이기때문에 그런건데 제가 알기로는 한국에서는 그걸 해주는 기관이 없는걸로 알고있습니다. 세계에 몇군데 없어요 그게... 그걸 피하기위해서 한국에서는 SSL대신 이상한 activeX들을 썼던거고.... 지금도 그런걸 많이 쓰고 있지요... 이제는 SSL/TLS 를 쓰고 있는데도 그런 이상한 프로그램들을 더 돌리고 있으니까 우리나라의 인터넷 통신은 무지하게 안전한거겠죠? (정말로?)
뭐 하여간 그렇습니다.
구글이나 네이버에 SSL HTTPS HOW WORKS 뭐 이정도로 검색하면 많이 뜰꺼에요. 설명이 좀 간단한것도 있고 너무 복잡한것도 있을꺼고... 그런데 주로 그림으로 된걸 보면 이해가 빨리됩니다...
화이팅!