[Linux, OpenSSL] 1. OpenSSL 개념 소개 및 인증서 생성 및 루트 기관 생성

1. OpenSSL 개념 소개 및 인증서 생성 및 루트 기관 생성

1. OpenSSL의 실행파일은?
    openssl라는 이름으로 존재합니다.
    거의 여러 응용프로그램들을 통하여 사용합니다. (단, 인증서 용도는 Openssl을 통해 직접합니다.)

2. OpenSSL은 무슨 용도의 프로그램인가?
    인증서를 확인 및 암호화 등의 역활을 수행하는 프로그램입니다.

홈페이지 : OpenSSL  http://www.openssl.org/
 
태스트 환경 :

중앙처리장치 : AMD Dual Core Athlon 64 X2 3600+
운영체제 : Centos 5.3(RHEL 5 시리즈)
램 : 2GB

OpenSSL 인증서 생성 및 루트 기관 생성과정 강좌

1. 'Demo CA'라고 불리는 폴더 설정

- 현재 디렉토리에 'demoCA' 혹은 사용자가 설정한 폴더의 이름으로 디렉토리 생성 :
     example) mkdir demoCA

1. 꼭 반드시 demoCA라는 폴더로 생성해야 합니까?
 아니요, 사용자가 원하시는 폴더로 생성하시고 싶으시다면 /etc/pki/tls/openssl.cnf 에서 설정을 하시면 됩니다.
           ###################################################################
           [ CA_default ]

            dir             = /usr/local/ssl/demoCA           # Where everything is kept

   
       참고 : 'demoCA'라는 부분을 사용자 원하는 데로 바꾸시면 됩니다.

2. 이 부분은 왜 만들어야 합니까?

mkdir certs
mkdir crl
mkdir newcerts
mkdir private
touch index.txt
echo "0001" > serial
echo "0001" > crlnumber

- demoCA 디렉토리 안에 시리얼 파일 생성 : serial 이란 이름의 text 파일에 00 을 적는다.
- index 파일 생성 :  index.txt 란 이름으로 빈 파일을 만든다.

이 부분은 루트(본인 컴퓨터를 인증기관으로서 생성하는 존재)인증기관이 되기에 반드시 필요하기 때문에 만들어주셔야 합니다. 만드실 때에는 1번과정에서 만든 폴더 안에 위에 명령어를 입력하여 만드시기 바랍니다.

2. CA 인증서 생성
- CA 개인키 생성 :  openssl genrsa -des3 -out ca.key 1024

명령어 설명)
genrsa = Generator RSA를 줄인 말로서 RSA 암호화로 인코딩하라는 명령어라고 보시면 됩니다.
-des3 = RSA내에 보안 규격이라고 보시면 됩니다.
-out = 추출 합니다. (-out 파일.key)
암호화 비트수 : 64, 128, 256, 512, 1024, 2048 등......(OpenSSL이 정하는 범위 내에서)

- Self-Signed CA 인증서 생성 :  openssl req -new -x509 -days 365 -key ca.key -out ca.crt

3. 하위 인증서 생성 (사용범위 : https, ......)
- server 개인키 생성 : openssl genrsa -des3 -out server.key 1024
- server 인증서 발급을 위한 요청파일 생성 : openssl req -new -days 365 -key server.key -out server.csr
- server 인증서 발급 : openssl ca -in server.csr -out server.crt -keyfile ca.key -cert ca.crt

참고 : 3번의 과정을 하실 때에는 위에 과정에서 개인키와 Self-Signed CA 인증서를 생성한 위치 내에서 사용하시면 되겠습니다.

결과 : server.crt 라는 server용인증서가 생성되고 index 파일에 발급내역이, serial이 16진수로 1씩 증가한다.

4. 인증서 인코딩 포멧 변경
- openssl 이 생성하는 인증서의 인코딩은 발급 시 옵션을 주지 않으면 디폴트가 PEM (base64 encoding)이다.
- Java 등에서 사용하기 위한 DER 포맷(바이너리)으로 변경은 다음과 같이 수행한다.
   : openssl x509 -in ca.crt -out ca.der -outform DER

5. 인증서 내용 보기
- openssl x509 -in ca.crt -text   (PEM 포맷인 경우)
- openssl x509 -in ca.der -inform DER -text (DER 포맷인 경우)

아래의 참고 자료들을 참조하여 직접 태스트한 경험을 바탕으로 올려보았습니다.

---

1. 참고자료(Reference)

 

1. http://blog.naver.com/zauberha?Redirect=Log&logNo=150055260734 OpenSSL로 인증서 생성 및 변환 간략 정리
2. http://golmong.tistory.com/112  (OpenSSL + Tomcat 사용 SSL 설정)