14장. 웹 서버

1. 모든 모듈 이름이 올바른지 확인합니다. 변경되었을 수 있습니다. 이름이 변경된 각 모듈에 대해 LoadModule 지시문을 조정합니다.
2. 로드를 시도하기 전에 모든 타사 모듈을 다시 컴파일합니다. 이는 일반적으로 인증 및 권한 부여 모듈을 의미합니다.
3. mod_userdir 모듈을 사용하는 경우 UserDir 지시문에서 디렉터리 이름(일반적으로 public_html)을 나타내는지 확인합니다.
4. Apache HTTP 보안 서버를 사용하는 경우 SSL(Secure Sockets Layer) 프로토콜 활성화에 대한 중요한 정보는 14.1.8절. “mod_ssl 모듈 활성화” 를 참조하십시오.

mod_nss 구성

1. mod_nss 를 root 로 설치합니다.

   ~]# yum install mod_nss

   그러면 /etc/httpd/conf.d/nss.conf 에 mod_nss 구성 파일이 생성됩니다. /etc/httpd/conf.d/ 디렉터리는 기본적으로 기본 Apache HTTP Server 구성 파일에 포함되어 있습니다. 모듈을 로드하려면 14.1.3.3절. “서비스를 다시 시작” 에 설명된 대로 httpd 서비스를 다시 시작합니다.

2. root 로서 /etc/httpd/conf.d/nss.conf 파일을 열고 Listen 지시문의 모든 인스턴스를 검색합니다.

   다음과 같이 Listen 8443 행을 편집합니다.

   Listen 443

   포트 443 은 HTTPS 의 기본 포트입니다.

3. 기본 VirtualHost 기본:8443 행을 다음과 같이 편집합니다.

   VirtualHost default:443

   기본이 아닌 다른 가상 호스트 섹션이 있는 경우 편집합니다. 파일을 저장하고 닫습니다.

4. Mozilla NSS는 /etc/httpd/conf.d/nss.conf 파일의 NSSCertificateDatabase 지시문으로 표시된 서버 인증서 데이터베이스에 인증서를 저장합니다. 기본적으로 경로는 설치 중에 생성된 NSS 데이터베이스인 /etc/httpd/alias 로 설정됩니다.

   기본 NSS 데이터베이스를 보려면 다음과 같이 명령을 실행합니다.

   ~]# certutil -L -d /etc/httpd/alias
   
   Certificate Nickname                     Trust Attributes
                                  SSL,S/MIME,JAR/XPI
   
   cacert                            CTu,Cu,Cu
   Server-Cert                         u,u,u
   alpha                            u,pu,u

   위의 명령 출력에서 Server-Cert 는 기본 NSSNickname 입니다. L 옵션 은 모든 인증서를 나열하거나 인증서 데이터베이스에 이름이 지정된 인증서에 대한 정보를 표시합니다. d 옵션은 인증서 및 키 데이터베이스 파일이 포함된 데이터베이스 디렉터리를 지정합니다. 자세한 명령행 옵션은 certutil(1) 도움말 페이지를 참조하십시오.

5. 다른 데이터베이스를 사용하도록 mod_nss 를 구성하려면 /etc/httpd/conf.d/nss.conf 파일에서 NSSCertificateDatabase 행을 편집합니다. 기본 파일에는 VirtualHost 섹션에 다음 행이 있습니다.

   #  Server Certificate Database:
   #  The NSS security database directory that holds the certificates and
   #  keys. The database consists of 3 files: cert8.db, key3.db and secmod.db.
   #  Provide the directory that these files exist.
   NSSCertificateDatabase /etc/httpd/alias

   위의 명령 출력에서 alias 는 기본 NSS 데이터베이스 디렉터리인 /etc/httpd/alias/ 입니다.

6. 기본 NSS 인증서 데이터베이스에 암호를 적용하려면 root 로 다음 명령을 사용하십시오.

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

7. HTTPS 서버를 배포하기 전에 CA(인증 기관)에서 서명한 인증서를 사용하여 새 인증서 데이터베이스를 생성합니다.

   예 14.3. Mozilla NSS 데이터베이스에 인증서 추가

   certutil 명령은 NSS 데이터베이스 파일에 CA 인증서를 추가하는 데 사용됩니다.

   certutil -d /etc/httpd/nss-db-directory/ -A -n "CA_certificate" -t CT,, -a -i certificate.pem

   위의 명령은 certificate.pem 이라는 PEM 형식의 파일에 저장된 CA 인증서를 추가합니다. d 옵션은 인증서 및 키 데이터베이스 파일을 포함하는 NSS 데이터베이스 디렉터리를 지정하고 -n 옵션은 인증서의 이름을 설정합니다. -t vGPU는 인증서가 TLS 클라이언트 및 서버에서 사용될 수 있음을 의미합니다. A 옵션은 기존 인증서를 인증서 데이터베이스에 추가합니다. 데이터베이스가 없으면 생성됩니다. a 옵션을 사용하면 입력 또는 출력에 ASCII 형식을 사용할 수 있으며 -i 옵션은 certificate.pem 입력 파일을 명령에 전달합니다.

   자세한 명령행 옵션은 certutil(1) 도움말 페이지를 참조하십시오.

8. NSS 데이터베이스는 개인 키를 보호하도록 암호로 보호되어야 합니다.

   예 14.4. Mozilla NSS 데이터베이스의 암호 설정

   certutil 툴을 사용하여 다음과 같이 NSS 데이터베이스의 암호를 설정할 수 있습니다.

   certutil -W -d /etc/httpd/nss-db-directory/

   예를 들어 기본 데이터베이스의 경우 다음과 같이 root 로 명령을 실행합니다.

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

9. 다음과 같이 NSSPassPhraseDialog 지시문으로 행을 변경하여 NSS 내부 소프트웨어 토큰을 사용하도록 mod_nss 를 구성합니다.

   ~]# vi /etc/httpd/conf.d/nss.conf
   NSSPassPhraseDialog file:/etc/httpd/password.conf

   이는 시스템 시작 시 수동 암호 입력을 방지하기 위한 것입니다. 소프트웨어 토큰은 NSS 데이터베이스에 있지만 인증서가 포함된 물리적 토큰을 가질 수도 있습니다.

10. NSS 데이터베이스에 포함된 SSL 서버 인증서가 RSA 인증서인 경우 NSSNickname 매개변수의 주석을 제거하고 위의 4 단계에 표시된 nickname과 일치하는지 확인합니다.

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSNickname Server-Cert

    NSS 데이터베이스에 포함된 SSL 서버 인증서가 ECC 인증서인 경우 NSSECCNickname 매개변수의 주석을 제거하고 위의 4 단계에 표시된 nickname과 일치하는지 확인합니다.

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSECCNickname Server-Cert

    NSSCertificateDatabase 매개변수의 주석을 제거하고 단계 4에 표시된 NSS 데이터베이스 디렉토리를 가리키거나 위의 5단계에서 구성된 NSS 데이터베이스 디렉토리를 가리킵니다.

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSCertificateDatabase /etc/httpd/alias

    /etc/httpd/alias 를 사용할 인증서 데이터베이스의 경로로 바꿉니다.

11. /etc/httpd/password.conf 파일을 root 로 만듭니다.

    ~]# vi /etc/httpd/password.conf

    다음 형식으로 행을 추가합니다.

    internal:password

    위의 6단계에서 NSS 보안 데이터베이스에 적용된 암호로 암호 교체

12. /etc/httpd/password.conf 파일에 적절한 소유권 및 권한을 적용합니다.

    ~]# chgrp apache /etc/httpd/password.conf
    ~]# chmod 640 /etc/httpd/password.conf
    ~]# ls -l /etc/httpd/password.conf
    -rw-r-----. 1 root apache 10 Dec 4 17:13 /etc/httpd/password.conf

13. /etc/httpd/password.conf 에서 소프트웨어 토큰을 사용하도록 mod_nss 를 구성하려면 /etc/httpd/conf.d/nss.conf 를 다음과 같이 편집합니다.

    ~]# vi /etc/httpd/conf.d/nss.conf

14. 에 설명된 대로 변경 사항을 적용하려면 Apache 서버를 다시 시작합니다. 14.1.3.3절. “서비스를 다시 시작”

1. IP 주소 또는 도메인 이름을 변경하고 있습니다.

   인증서는 특정 IP 주소 및 도메인 이름 쌍에 대해 발급됩니다. 이러한 값 중 하나가 변경되면 인증서가 유효하지 않습니다.

2. VeriSign의 인증서가 있고 서버 소프트웨어를 변경하고 있습니다.

   널리 사용되는 인증 기관인 RuntimeClass는 특정 소프트웨어 제품, IP 주소 및 도메인 이름에 대한 인증서를 발행합니다. 소프트웨어 제품을 변경하면 인증서가 유효하지 않습니다.

1. 키와 인증서를 저장할 대상 위치를 검토합니다.

   그림 14.1. genkey 유틸리티 실행

   

   Tab 키를 사용하여 Next 버튼을 선택하고 Enter 를 눌러 다음 화면으로 진행합니다.

2. 위쪽 및 아래쪽 화살표 키를 사용하여 적절한 키 크기를 선택합니다. 더 큰 키는 보안이 높아지지만 서버의 응답 시간도 증가합니다. NIST는 2048비트 를 사용하는 것이 좋습니다. NIST 특수 발행 800-131A 를 참조하십시오.

   그림 14.2. 키 크기 선택

   

   완료되면 Tab 키를 사용하여 Next 버튼을 선택하고 Enter 를 눌러 임의의 비트 생성 프로세스를 시작합니다. 선택한 키 크기에 따라 다소 시간이 걸릴 수 있습니다.

3. 인증서 요청을 인증 기관에 보낼지 여부를 결정합니다.

   그림 14.3. 인증서 요청 생성

   

   Tab 키를 사용하여 Yes 를 선택하여 인증서 요청을 작성하거나 No 를 선택하여 자체 서명된 인증서를 생성합니다. 그런 다음 Enter 를 눌러 선택을 확인합니다.

4. Spacebar 키를 사용하여 개인 키 암호화를 활성화([*])하거나 사용하지 않도록 설정합니다.

   그림 14.4. 개인 키 암호화

   

   Tab 키를 사용하여 Next 버튼을 선택하고 Enter 를 눌러 다음 화면으로 진행합니다.

5. 개인 키 암호화를 활성화한 경우 적절한 암호를 입력합니다. 보안상의 이유로 입력한 대로 표시되지 않으며 최소 5자 이상이어야 합니다.

   그림 14.5. 암호를 입력

   

   Tab 키를 사용하여 Next 버튼을 선택하고 Enter 를 눌러 다음 화면으로 진행합니다.

   중요

   서버를 시작하려면 올바른 암호를 입력해야 합니다. 이를 손실하는 경우 새 키와 인증서를 생성해야 합니다.

6. 인증서 세부 정보를 사용자 지정합니다.

   그림 14.6. 인증서 정보 지정

   

   Tab 키를 사용하여 Next 버튼을 선택하고 Enter 를 눌러 키 생성을 완료합니다.

7. 이전에 인증서 요청 생성을 활성화한 경우 인증 기관으로 전송하라는 메시지가 표시됩니다.

   그림 14.7. 인증서 요청을 보내는 방법에 대한 지침

   

   Enter 를 눌러 쉘 프롬프트로 돌아갑니다.