2.4. OpenSSL을 사용하여 TLS 클라이언트 인증서에 대한 개인 키 및 CSR 생성

프로세스

1. 클라이언트 시스템에서 개인 키를 생성합니다. 예를 들면 다음과 같습니다.

   $ openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out <client-private.key>

   Copy to Clipboard Toggle word wrap

2. 선택 사항: 선택한 텍스트 편집기를 사용하여 CSR 생성을 간소화하는 구성 파일을 준비합니다. 예를 들면 다음과 같습니다.

   $ vim <example_client.cnf>
   [client-cert]
   keyUsage = critical, digitalSignature, keyEncipherment
   extendedKeyUsage = clientAuth
   subjectAltName = @alt_name
   
   [req]
   distinguished_name = dn
   prompt = no
   
   [dn]
   CN = <client.example.com>
   
   [clnt_alt_name]
   email= <client@example.com>

   Copy to Clipboard Toggle word wrap

   extendedKeyUsage = clientAuth 옵션은 인증서 사용을 제한합니다.

3. 이전에 만든 개인 키를 사용하여 CSR을 생성합니다.

   $ openssl req -key <client-private.key> -config <example_client.cnf> -new -out <client-cert.csr>

   Copy to Clipboard Toggle word wrap

   -config 옵션을 생략하면 req 유틸리티에서 추가 정보를 입력하라는 메시지를 표시합니다. 예를 들면 다음과 같습니다.

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   …
   Common Name (eg, your name or your server's hostname) []: <client.example.com>
   Email Address []: <client@example.com>

   Copy to Clipboard Toggle word wrap

검증

1. 인증서의 사람이 읽을 수 있는 부분이 요구 사항과 일치하는지 확인합니다. 예를 들면 다음과 같습니다.

   $ openssl x509 -text -noout -in <client-cert.crt>
   Certificate:
   …
               X509v3 Extended Key Usage:
                   TLS Web Client Authentication
               X509v3 Subject Alternative Name:
                   email:client@example.com
   …

   Copy to Clipboard Toggle word wrap