성공할 사용한 본체랑 TLS 라1060;브러리1032; 1333;류0143; 버1204;, 특별Ȣ16;,172; 소스 수1221;Ȣ16;,144;나 컴파1068; Ꮢ1;션 1480;야한다면 해NJ17; ǥ12;ǥ16;1012; 1328; 알/140;1452;세요
Chrome Stable도 X25519Kyber768Draft00를 1648;원Ȣ16;lj16;,163;보고 현1228; 운영1473;1064; 서버에 추가해볼/140;니 ኧ1;시간 컴파1068; 다 실패Ȣ16;고 1080;습니다 (다른 0169;식1008; 아1649; 1648;원 안.104;고, Kyber Hybrid만 1648;원.121;니다)
Chrome://flags에서 수1221;후 1116;실행Ȣ16;고, 1060;0120; 도1077;.108; 서버에 1217;속해보면 개0156;1088; 도구 Security에 1228;대/196; 1201;용.104;었다고 뜹니다
Wold, Libre, Boring1008; 물른1060;고, 심1648;Ǻ12;lj16; OpenSSL1032; 패치 버1204;1064; https://github.com/open-quantum-safe/openssl 1312;차 컴파1068; 실패Ȣ16;네요
사용한 NGINX1032; 버1204;1008; Mainline1064; 1.25.21077;니다
보안1012; 위해 매번 소스 수ᇼ1;1004;/196; 패치(1089;ᇼ1;에lj16; 영향 안 1452;lj16; 문1088;열 수1221;)Ȣ16;고, 모듈까1648; 추가해서 컴파1068;해서 Ǹ16;다보니 유포.104;lj16; 0148;1060;너리/196;lj16; 해NJ17;1060; 없Ǻ12;서 1649;1217; 컴파1068;해야 합니다
OpenSSL처/100; 위1109;Ȣ16;기 위해 심벌릭 링크0143; 파1068; 복사Ȣ16;,144;나, 아에 Make파1068;1012; 수1221;Ȣ16;,144;나, 컴파1068;러 Ꮢ1;션1004;/196; 라1060;브러리 ᅆ1;/196; 1648;1221;Ȣ16;,144;나 해봐도 또 다른 에러에 시달릴1104;1060;네요
심1648;Ǻ12;lj16; Docker 생성할ǐ12; Ǹ16;lj16; 파1068;1012; 참1312;해서 ᇼ1;1068;한 0169;식1004;/196; 1652;행해봐도 에러 나네요
목표lj16; 호환성 문1228;를 피Ȣ16;기 위해 시스템1032; TLS 라1060;브러리lj16; 손.104;1648; 않고, NGINX1032; 0148;1060;너리에 Kyber를 1648;원Ȣ16;lj16; TLS 라1060;브러리를 Ȣ16;드코딩해서 1089;ᇼ1;시Ȗ12;lj16;,161;니다
추신 1 :
https://test.openquantumsafe.org
https://github.com/open-quantum-safe/oqs-provider/blob/main/oqs-template/oqs-kem-info.md
https://github.com/open-quantum-safe/oqs-provider
를 보시면 다른 Ȗ12; 교환 0169;식1060;나 ǹ16;호화 0169;식도 연구lj16; .104;고 1080;lj16;데, 아1649;까1648; 도1077;.108;,148; Kyber0150;에 없Ǻ12;보1077;니다
추신 2 : 1201;용Ȣ16;실/140;면 NGINX1032; conf를 수1221;해서 ssl_ecdh_curve1032; 1236; 앞에 X25519Kyber768Draft00를 붙1060;면 -149;1077;니다 (0120;1648;원 버1204;1004;/196; Ȣ16;면 에러나니 Ȣ16;1648;마세요)
http://www.2cpu.co.kr/hardware_2014/44147
컴 케이스 작다고 불타거나 하지 않아요
1. nginx 디렉토리 내에서 boringssl clone 진행
mkdir lib && git clone https://github.com/google/boringssl lib/boringssl
2. boringssl 빌드
cd lib/boringssl && \
mkdir build && \
cd build && \
cmake .. && \
make
-> 패키지는 cmake, golang, gcc-c++, libunwind-dev 등등 필요.
-> make 할 때 오류나는 것들에 대해 의존성 해결
3. nginx 에서 configure 옵션 추가 (--with-openssl 옵션은 필요 없습니다.)
cd ../../..
auto/configure \
--with-cc-opt="-I./lib/boringssl/include" \
--with-ld-opt="-L./lib/boringssl/build/ssl -L./lib/boringssl/build/crypto" \
... (기타 옵션 - with-http_ssl_module 등등)
4. 빌드가 완료되면 nginx 디렉토리로 복귀 후 빌드
5. X25519Kyber768Draft00 테스트
cd lib/boringssl/build
./bssl s_client -connect [domain] -server-name [domain] -curves X25519Kyber768Draft00
(Connected. 가 뜨면 성공)
덕분에 1방에 성공했네요
openssl 지정 옵션을 제거하고 라이브러리등만 수동으로 지정해주니 넘어가네요 (system openssl 사용이라 뜨는거 막을려고 동시 사용도 시도해봤으니 역시 에러)
결국 원흉은 openssl 지정 옵션이었네요
일단 conf도 좀 만져서 일부 옵션 수정해야했습니다
먼저 X25519Kyber768Draft00를 지원하는 대신 X448을 지원하지 않네요
이외에 ssl_stapling도 미지원인지 경고 뜨네요 (에러가 아니니 넘어가긴 함)
이게 좀 웃기는게 클라로 접속할때는 OCSP stapling 지원하는데 (항목이 있음), 서버로는 지원 안 하는지 ssl_ocsp is not supported on this platform이라고 떠버리네요
그리고 X448 보다는 X25519 사용이 사실상 권장되고 있어서 굳이 상관은 없습니다.
-> 정확히는 Chrome 최신버전에서는 X448 을 지원하지 않고 X25519, P-256, P-384 만 지원합니다.
OCSP Stapling 은 외국에서 이미 어느분이 만드신게 있으니 그것을 참고해보시면 될 듯 합니다.
https://github.com/kn007/patch/issues/4
ocsp 파일을 받아와서 직접 아래와 같이 nginx 에서 설정하셔야 하구요..
https://stackoverflow.com/questions/56292411/how-to-verify-certificate-with-ocsp-using-openssl
ssl_stapling_file xxx.ocsp;
이미 https://github.com/kn007/patch/blob/master/Enable_BoringSSL_OCSP.patch 패치 먹였습니다
적용후 SSLlab 돌려보니 OCSP Stampling 된다고 나옵니다
좀 웃기는건 클라로 시험할때 항목은 있는데도 지원 안 되는지 여전히 해당 항목은 no라고 떠버리네요 (OpenSSL은 정상적으로 OCSP 결과 뽑아줍니다)
이미 OCSP 먹이는 상태에서 TLS 라이브러리만 바꾼거라 나머진 손 될 필요 없네요 (cron으로 자동 갱신되게 해놨습니다)
OpenSSL 신기술 도입에 의외로 소극적이랄까 늦은편이라 이럴떈 좀 귀찮네요
X448 호환성땜에 상위에 넣어둔거지 사실 그거 안 써도 될만큼 서버 CPU 성능 썩어넘치는지라 상관없긴합니다
호환성따위 다 깡그러니 무시해버리면 SSLLab 100점 받는것도 일도 아닌데, 약간 구버전 클라까지 챙기다보니 일부 90점이네요 (100/100/90/90)
10에서 Trident로 웹뷰 구현하거나, 파일 다운 받을때나 구버전 Android 호환이 될정도로 하위 호환성을 보장하면서 HTTP/3같은 최신 기술까지 지원이 동시에 보장되는 변태 설정입니다
참고로 Kaspersky등의 일부 백신 쓰면 TLS 디코딩후 다시 인코딩하다보니 크룸에서 kyber 안 된다고 떠버리긴하네요
이거땜에 삽질하느라 주말에 한 4시간 꺤거같은데 덕분에 해결되었습니다
https://blog.dateno1.com/?p=6119
간단하게 게시물 작성해봤습니다 (삽질하느라 시간 낭비하는건 저 1명이면 충분합니다)
해당 게시물 필요하신분들은 마음대로 퍼가셔도 되고, 허가 안 받으셔도 되고, 수정하셔도 됩니다 (출처 표기조차 불필요) (다만 불필요한 스팸 유입 방지를 위해 링크 유포는 하지말아주세요)