1.2. JBoss EAP에 배포된 애플리케이션에 대해 단방향 SSL/TLS 활성화

검증

1. 브라우저와 서버 로그의 인증서와 제공되는 인증서 JBoss EAP를 비교합니다.

   서버 로그 예

   17:50:24,086 WARN  [org.wildfly.extension.elytron] (default task-1) WFLYELY01085: Generated self-signed certificate at /home/user1/Downloads/wildflies/wildfly-27.0.1.Final/standalone/configuration/application.keystore. Please note that self-signed certificates are not secure and should only be used for testing purposes. Do not use this self-signed certificate in production.
   SHA-1 fingerprint of the generated key is 11:2f:e7:8c:18:b7:2c:c1:b0:5a:ad:ea:83:e0:32:59:ba:73:91:e2
   SHA-256 fingerprint of the generated key is b2:a4:ed:b0:5c:c2:a1:4c:ca:39:03:e8:3a:11:e4:c5:c4:81:9d:46:97:7c:e6:6f:0c:45:f6:5d:64:3f:0d:64

   브라우저에 제공된 인증서 예

   SHA-256 Fingerprint	B2 A4 ED B0 5C C2 A1 4C CA 39 03 E8 3A 11 E4 C5
   C4 81 9D 46 97 7C E6 6F 0C 45 F6 5D 64 3F 0D 64
   SHA-1 Fingerprint	11 2F E7 8C 18 B7 2C C1 B0 5A AD EA 83 E0 32 59
   BA 73 91 E2

2. 예와 같이 지문이 일치하는 경우 페이지로 이동할 수 있습니다.

검증

1. https://localhost:8443 로 이동합니다.

   자체 서명된 인증서를 사용한 경우 브라우저에서 서버에서 제공하는 인증서를 알 수 없다는 경고가 표시됩니다.

2. 인증서를 검사하고 브라우저에 표시된 지문이 키 저장소의 인증서 지문과 일치하는지 확인합니다. 다음 명령을 사용하여 생성한 인증서를 볼 수 있습니다.

   구문

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   예제

   /subsystem=elytron/key-store=key-store-4cba6678-c464-4dcc-90ff-9295312ac395:read-alias(alias="localhost")

   예를 들어 "key-store는 key-store-4cba6678-c464-4dcc-90ff-9295312ac395"와 같이 마법사 출력에서 키 저장소 이름을 가져올 수 있습니다.

   출력 예

   ...
   "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
   0:ea",
   "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
   :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
   ...

프로세스

1. 인증서를 저장하도록 키 저장소를 구성합니다.

   예를 들어 CA 서명 인증서가 포함된 키 저장소의 경로를 제공하거나 생성할 키 저장소의 경로를 제공할 수 있습니다.

   /subsystem=elytron/key-store=<keystore_name>:add(path=<path_to_keystore>, credential-reference=<credential_reference>, type=<keystore_type>)

   예제

   /subsystem=elytron/key-store=exampleKeyStore:add(path=exampleserver.keystore.pkcs12, relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=PKCS12)

2. 키 저장소에 인증서가 포함되어 있지 않거나 위의 단계를 사용하여 키 저장소를 생성한 경우 인증서를 생성하고 인증서를 파일에 저장해야 합니다.

   1. 키 저장소에 키 쌍을 생성합니다.

      구문

      /subsystem=elytron/key-store=<keystore_name>:generate-key-pair(alias=<keystore_alias>,algorithm=<algorithm>,key-size=<key_size>,validity=<validity_in_days>,credential-reference=<credential_reference>,distinguished-name="<distinguished_name>")

      예제

      /subsystem=elytron/key-store=exampleKeyStore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=2048,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")

   2. 인증서를 파일에 저장합니다.

      구문

      /subsystem=elytron/key-store=<keystore_name>:store()

      예제

      /subsystem=elytron/key-store=exampleKeyStore:store()

3. 키 저장소를 참조하는 key-manager 를 구성합니다.

   구문

   /subsystem=elytron/key-manager=<key-manager_name>:add(key-store=<key-store_name>,credential-reference=<credential_reference>)

   예제

   /subsystem=elytron/key-manager=exampleKeyManager:add(key-store=exampleKeyStore,credential-reference={clear-text=secret})

   중요

   elytron 하위 시스템은 KeyManagerFactory.getDefaultAlgorithm() 을 사용하여 기본적으로 알고리즘을 결정하기 때문에 Red Hat은 알고리즘 속성을 지정하지 않았습니다. 그러나 알고리즘 특성을 지정할 수 있습니다.

   알고리즘 특성을 지정하려면 사용 중인 Java 개발 키트(JDK)에서 제공하는 키 관리자 알고리즘을 알아야 합니다. 예를 들어, JSSE(Java Secure Socket Extension)를 사용하는 JDK는 PKIX 및 SunX509 알고리즘을 제공합니다.

   명령에서 SunX509를 키-manager 알고리즘 속성으로 지정할 수 있습니다.

4. key-manager 를 참조하는 server-ssl-context 를 구성합니다.

   구문

   /subsystem=elytron/server-ssl-context=<server-ssl-context_name>:add(key-manager=<key-manager_name>, protocols=<list_of_protocols>)

   예제

   /subsystem=elytron/server-ssl-context=examplehttpsSSC:add(key-manager=exampleKeyManager, protocols=["TLSv1.2"])

   중요

   지원하려는 SSL/TLS 프로토콜을 결정해야 합니다. 예제 명령은 TLSv1.2를 사용합니다.

   • TLSv1.2 및 이전 버전의 경우 cipher-suite-filter 인수를 사용하여 허용되는 암호화 제품군을 지정합니다.
   • TLSv1.3의 경우 cipher-suite-names 인수를 사용하여 허용되는 암호화 제품군을 지정합니다. TLSv1.3은 기본적으로 비활성화되어 있습니다. protocols 속성 또는 지정된 세트에 TLSv1.3이 포함된 프로토콜을 지정하지 않으면 cipher-suite-names 를 구성하면 TLSv1.3을 활성화합니다.

   use-cipher-suites-order 인수를 사용하여 서버 암호화 제품군 순서를 준수합니다. use-cipher-suites-order 속성은 기본적으로 true 로 설정됩니다. 이는 클라이언트 암호화 제품군 순서를 준수하는 레거시 보안 하위 시스템 동작과 다릅니다.

5. 구성된 server-ssl-context 를 사용하도록 Cryostat를 업데이트합니다.

   구문

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=<server-ssl-context_name>)

   예제

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=examplehttpsSSC)

6. 서버를 다시 로드합니다.

   reload

검증

1. https://localhost:8443 로 이동합니다.

   자체 서명된 인증서를 사용한 경우 브라우저에서 서버에서 제공하는 인증서를 알 수 없다는 경고가 표시됩니다.

2. 인증서를 검사하고 브라우저에 표시된 지문이 키 저장소의 인증서 지문과 일치하는지 확인합니다. 다음 명령을 사용하여 생성한 인증서를 볼 수 있습니다.

   구문

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   예제

   /subsystem=elytron/key-store=exampleKeyStore:read-alias(alias=localhost)

   출력 예

   ...
   "sha-1-digest" => "cc:f1:82:59:c7:0d:f6:91:bc:3e:69:0a:38:fb:48:be:ec:7f:d
   4:bd",
   "sha-256-digest" => "c0:f3:f9:8b:3c:f1:72:17:64:54:35:a6:bb:82:7e:51:b0:78
   :30:cb:68:ef:04:0e:f5:2b:9d:62:ca:a7:f6:35",
   ...