Apache mod_ssl wildmask 인증서 적용하기 (CentOS 기준)

요즘 모든 페이지에 ssl 적용중입니다. 작업 로그겸 적습니다. 몇 번 했는데 매번 까먹는군요. 10년전에도 그랬으니 나이먹어서 그런건 아닐거라 믿어봅니다.

CentOS 라고 해놨지만 디렉만 맞추면 다른데도 가능할겁니다. common name 만 바꾸면 wildmask 가 아닌 호스트 인증서도 적용 가능합니다.

CentOS 에서 ssl 관련 디렉토리는 /etc/pki 입니다.

1. /etc/pki/tls/openssl.cnf 을 설정합니다.

안해도 되는데, countryName_default, stateOrProvinceName_default, localityName_default 등을 수정하면 crt, csr 만들 때 입력 안해도 됩니다. default_days 는 기본이 365인데, 1년마다 인증서 만들기 귀찮으면 값을 키워줍니다. 10년으로 하고 싶은 경우에는, 윤년 생각해서 3652쯤 하면 딱 10년짜리 인증서가 됩니다. 2020년이 윤년이니 3월부터는 3653을 주면 되겠죠.

특별히 건드리지 않으면 [ CA_default ] 섹션의 dir 값은 ../../CA 일겁니다. 이건 그냥 둬도 됩니다.

2. CA용 파일들을 생성합니다.

CA 용 인증서를 만듭니다. 비밀번호 없이 사인을 하고 싶다면, 중간에 -nodes 옵션을 줍니다.

# openssl req -new -x509 -keyout /etc/pki/CA/private/ca.key -out /etc/pki/CA/ca.crt
# chmod 600 private/ca.key

그다음은 CA 부속품들을 만듭니다.

# cd /etc/pki/CA
# mkdir newcerts
# touch index.txt
# echo 01 > serial

3. 이제 csr을 (Certificate Signing Request) 만들어줍니다.

물어보는 다른건 상관없는데, Common Name 물어볼때는 ssl 적용할 호스트네임을 적어야 합니다. 제 경우엔 *.arcy.org 를 넣어주면, 해당 서버에서 돌리는 모든 서브도메인에 대해 ssl 적용이 가능합니다.

# openssl req -nodes -new -keyout /etc/pki/tls/private/localhost.key -out /etc/pki/tls/certs/localhost.csr

4. 마지막으로 CA로 사인할 차례입니다.

아까 CA key 만들때 -nodes 안줬다면 CA 비밀번호 물어봅니다. y 두번 치면 인증서가 만들어집니다.

# cd /etc/pki/tls/certs
# openssl ca -in /etc/pki/tls/certs/localhost.csr -out /etc/pki/tls/certs/localhost.crt -keyfile /etc/pki/CA/private/ca.key -cert /etc/pki/CA/ca.crt

5. /etc/httpd/conf.d/ssl.conf 를 설정해줍니다.
SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateKeyFile /etc/pki/tls/private/localhost.key

그냥 저렇게 되어있으면 두면 됩니다.

6. 아파치를 켜고 브라우져로 접속해봅니다.

인증기관을 찾을 수 없다고 어떻게 할거냐고 물어봅니다. 예외로 추가해주면 잘 될겁니다.