개인 웹사이트나 쇼핑몰 등을 운영할 때 보안 프로토콜인 HTTPS 구축은 필수 요소입니다. 이번 글에서는 SSL 인증서를 무료로 얻을 수 있는 사이트들과 Let’s Encrypt를 통해 직접 발급받는 구체적인 절차를 안내해 드리겠습니다.
SSL 인증서 이해하기
SSL과 TLS의 차이
SSL (Secure Sockets Layer)은 네트워크상에서 기기나 서비스 간의 데이터를 암호화하여 주고받도록 해주는 보안 통신 규약입니다.
TLS (Transport Layer Security)는 기존 SSL이 지닌 보안상 취약점을 개선하여 만든 한 단계 발전된 표준 규격입니다. 보다 높은 데이터 암호화 수준과 신뢰성 있는 인증 기능을 제공합니다.
대표적인 무료 SSL 인증서 발급 서비스
Let’s Encrypt
글로벌하게 가장 많은 사용자를 확보하고 있는 비영리 무료 SSL/TLS 인증서 제공 기관입니다.
ZeroSSL
Let’s Encrypt처럼 무료 플랜과 유료 옵션을 함께 제공하며, 관리 화면과 사용법이 비교적 간단하다는 장점이 있습니다.
Let’s Encrypt 발급 절차
리눅스 환경 (Certbot)
1. Certbot 모듈 설치
2. 인증서 생성 및 서버 자동 구성 진행
- Standalone – 별도의 웹서버가 없어도 직접 인증서를 가져올 수 있습니다.
- Webroot – 서버 서비스 중단 없이 인증서를 발급받고 자동으로 갱신할 수 있습니다.
- Manual – 서버 직접 접근 권한이 부족한 경우에도 활용할 수 있는 범용 방식입니다.
- nginx – Nginx 환경 설정을 자동으로 적용해 주며 서버 멈춤 없이 갱신됩니다.
- Apache – Apache 설정을 자동으로 세팅해 주며 서버 구동 상태를 유지합니다.
3. 인증서 자동 갱신 프로세스 시뮬레이션 테스트
윈도우 환경 (win-acme)
윈도우 서버 환경에서는 win-acme 툴을 사용하여 인증서를 발급받습니다.
https://www.win-acme.com 페이지에 접속한 후 win-acme 프로그램 파일을 다운로드하고 wacs.exe 실행 파일을 작동시킵니다.
1. 아래와 같은 메뉴가 출력되면 세부적인 세팅을 진행하기 위해 M: Create certificate (full options) 를 선택해 줍니다.
N: Create certificate (default settings)
M: Create certificate (full options)
R: Run renewals (0 currently due)
A: Manage renewals (0 total)
O: More options...
Q: Quit
Please choose from the menu:
2. 다음으로 도메인을 연동할 방식을 결정합니다. 직접 입력을 위해 2: Manual input 항목을 고릅니다.
1: Read bindings from IIS
2: Manual input
3: CSR created by another program
C: Abort
How shall we determine the domain(s) to include in the certificate?:
3. 입력창이 뜨면 연동할 실제 도메인 주소를 철자에 오류가 없도록 입력해 줍니다.
Host:
4. 도메인 닉네임(Friendly name)을 지정하는 단계입니다. 필요하지 않다면 그냥 엔터키(Enter)를 눌러 지나칩니다.
Friendly name '[Manual] http://www.makeanything.co.kr/'. <Enter> to accept or type desired name:
5. 기본 설정상 식별자는 단일 인증서로 처리되나 다중 인증서 분할 여부를 묻는 부분입니다. 일반적인 경우 4: Single certificate 를 선택해 계속합니다.
1: Separate certificate for each domain (e.g. *.example.com)
2: Separate certificate for each host (e.g. sub.example.com)
3: Separate certificate for each IIS site
4: Single certificate
C: Abort
Would you like to split this source into multiple certificates?:
6. 도메인 소유권 인증 절차를 선택합니다. 1번은 서버 지정 경로에 검증용 파일을 배치하는 방식이고, 3~5번은 FTP 등을 활용해 업로드하는 방법이며 6~8번은 DNS 레코드 등록으로 인증합니다. 보통은 1번을 주로 사용합니다.
1: [http] Save verification files on (network) path
2: [http] Serve verification files from memory
3: [http] Upload verification files via FTP(S)
4: [http] Upload verification files via SSH-FTP
5: [http] Upload verification files via WebDav
6: [dns] Create verification records manually (auto-renew not possible)
7: [dns] Create verification records with acme-dns (https://github.com/joohoi/acme-dns)
8: [dns] Create verification records with your own script
9: [tls-alpn] Answer TLS verification request from win-acme
C: Abort
How would you like prove ownership for the domain(s)?:
7. 웹사이트의 실제 웹루트(Webroot) 디렉터리 경로를 지정합니다.
Path:
8. 검증 진행 전 기본 web.config 파일을 복사할 것인지 설정합니다. y 또는 n 중 하나를 지정합니다.
Copy default web.config before validation? (y/n*)
9. 사용하려는 암호화 알고리즘을 지정합니다. 1번 타원곡선 방식이 2번 RSA 방식보다 우수한 보안성을 가지지만, 일부 시스템 서버 환경에서는 지원되지 않을 수도 있습니다.
1: Elliptic Curve key
2: RSA key
C: Abort
What kind of private key should be used for the certificate?:
10. 인증서 저장 방식을 고르는 옵션입니다.
1: IIS Central Certificate Store (.pfx per host)
2: PEM encoded files (Apache, nginx, etc.)
3: PFX archive
4: Windows Certificate Store (Local Computer)
5: No (additional) store steps
How would you like to store the certificate?:
11. 생성된 인증서 파일이 저장될 폴더 경로를 지정해 줍니다.
File path:
12. 개인키에 설정할 비밀번호 지정 암호화 방식을 결정합니다.
1: None
2: Type/paste in console
3: Search in vault
Choose from the menu:
13. 인증서를 추가로 다른 형태나 경로에 복사 저장할지 여부를 묻습니다.
1: IIS Central Certificate Store (.pfx per host)
2: PEM encoded files (Apache, nginx, etc.)
3: PFX archive
4: Windows Certificate Store (Local Computer)
5: No (additional) store steps
Would you like to store it in another way too?:
14. 추가 설치 단계를 마치면 앞서 지정해둔 해당 디렉터리에 pem 형식의 인증서 파일이 안착됩니다.
1: Create or update bindings in IIS
2: Start external script or program
3: No (additional) installation steps
Which installation step should run first?: