인증서 체인

인증서 체인(또는 신뢰 체인)은 서버의 리프 인증서에서 신뢰할 수 있는 루트 인증서까지 연결되는 인증서의 순서 목록입니다.

각 인증서는 자신보다 위에 있는 인증서에 의해 서명됩니다.

일반적인 체인은 세 부분으로 구성됩니다:

• 리프(최종 엔터티) 실제 서버를 위한 인증서입니다.
• 리프에 서명한 중간 인증서입니다.
• 중간 인증서에 서명한 루트 인증서입니다.

검증하려면 클라이언트는 위쪽으로 올라가며 각 서명을 확인합니다:

• 루트의 공개 키로 중간 인증서를 검증합니다.
• 중간 인증서의 공개 키로 리프를 검증합니다.

모든 서명이 유효하고 신뢰할 수 있는 루트에서 끝나면 체인이 유효합니다.

OpenSSL의 s_client를 사용하여 서버가 제시하는 체인을 확인할 수 있습니다.

체인은 필드를 일치시키는 방식으로 연결됩니다. 인증서의 발급자가 그 위에 있는 인증서의 주체와 일치합니다.

매우 흔한 오류는 서버가 리프 인증서만 보내고 중간 인증서를 빠뜨리는 것입니다.

일부 클라이언트는 루트까지의 경로를 구축하지 못해 기술적으로 모든 것이 유효하더라도 신뢰할 수 없는 인증서라고 보고할 수 있습니다.

서버는 리프와 모든 중간 인증서를 보내야 합니다(클라이언트가 이미 루트를 가지고 있으므로 일반적으로 루트는 보내지 않습니다).

이 결합된 파일은 흔히 fullchain.pem이라고 부릅니다.

신뢰할 수 있는 루트를 제공하여 로컬에서 체인을 검증할 수 있습니다.

검증에는 서명 확인 이상의 작업이 필요합니다. 클라이언트는 다음 항목도 확인합니다:

• 각 인증서가 유효 기간 내에 있습니다.
• 체인이 폐지되지 않았습니다.
• 기본 제약 조건에서 CA 인증서에 CA 플래그가 설정되어 있습니다.
• 키 사용 및 이름 제약 조건이 준수됩니다.

새 루트가 아직 모든 곳에서 신뢰되지 않는 경우가 있습니다. 교차 서명을 사용하면 오래되고 널리 신뢰받는 루트도 새 중간 인증서에 서명할 수 있습니다.

이렇게 하면 유효한 경로가 여러 개 생겨 구형 장치와의 호환성이 향상됩니다.

체인에서 흔히 발생하는 실패는 다음과 같습니다:

• 중간 인증서 누락
• 경로 어디에서든 만료된 인증서
• 체인 파일의 잘못된 순서
• 신뢰할 수 없거나 신뢰가 철회된 루트

서버가 리프 인증서만 제시하고 일부 클라이언트가 이를 신뢰할 수 없다고 보고합니다. 가장 가능성 높은 원인은 무엇입니까?

인증서 체인이 중간 인증서를 통해 리프를 신뢰할 수 있는 루트에 연결하는 방식을 배웠습니다.

• 검증은 체인을 따라가며 각 서명, 날짜 및 폐지 여부를 확인합니다.
• 서버는 중간 인증서 누락 오류를 방지하기 위해 전체 체인을 보내야 합니다.
• 교차 서명은 호환성을 향상합니다.

다음으로 인증서 관리의 운영 작업을 다룹니다.