Let's Encrypt로 웹사이트를 보호하세요!

게시 됨: 2016-11-22

Let's Encrypt는 웹사이트의 HTTP 트래픽을 보호하는 무료 자동화 방법을 제공하는 이니셔티브입니다. 보안 HTTPS 설정은 항상 복잡한 과정이었고 우리는 사람들을 위해 전체 과정을 더 간단하고 간단하게 만드는 모든 노력을 지원하게 된 것을 기쁘게 생각합니다.

일반적으로 웹사이트에서 HTTPS를 활성화하려면 인증 기관(CA)에서 보안 인증서를 받아야 합니다. 인증 기관은 방문자에게 웹사이트의 신원을 확인할 수 있는 신뢰할 수 있는 제3자로 간주됩니다. 보안 인증서(SSL 인증서라고도 함)는 웹 서버에 설치되며 두 가지 기능을 제공합니다. a) 웹사이트와 방문자 간의 모든 HTTP 트래픽을 암호화합니다. b) 웹사이트의 ID를 인증하여 방문자가 가짜를 방문하지 않습니다.

웹사이트의 ID와 방문자 트래픽을 보호하는 것은 여기에서 명백한 이점이지만 추가 설명이 필요한 몇 가지가 더 있습니다.

Let's Encrypt 전에는 원하는 인증서 유형을 선택해야 했으며 공개 키 시스템에 익숙하지 않은 사용자에게는 약간 혼란스러운 프로세스였습니다. 그런 다음 키를 생성하고 인증서 생성 요청에 서명하고 마침내 상당한 금액을 소비해야 했습니다. 하나를 구입하기 위해 돈.

잠깐만 SSL이란 무엇입니까?

SSL(Secure Sockets Layer)은 네트워크 통신을 보호하는 암호화 프로토콜입니다. 이는 통신의 프라이버시를 보장합니다. 즉, 두 당사자 간에 교환되는 데이터가 암호화되어 제3자가 도청할 수 없습니다. 또한 앞에서 언급한 SSL 인증서를 사용하여 통신 당사자(일반적으로 서버)의 ID를 인증합니다.

웹사이트가 안전한지 어떻게 알 수 있습니까?

SSL로 보호되는 웹사이트는 다음 몇 가지를 통해 쉽게 식별할 수 있습니다.

URL 주소 옆에 녹색 자물쇠 아이콘이 있습니다(사용 중인 브라우저에 따라 다름)
URL은 http 대신 https 로 시작합니다.

그러나 SSL 인증서에도 만료 날짜가 있습니다. 해당 날짜가 지나면 통신이 더 이상 안전하지 않으며 인증서를 갱신해야 합니다. 먼저 자물쇠 아이콘을 클릭하고 사용하는 브라우저에 따라 다음을 수행하여 웹 사이트의 SSL 인증서 만료 여부를 쉽게 확인할 수 있습니다.

Firefox에서 오른쪽에 있는 화살표 버튼을 클릭한 다음 추가 정보 링크를 클릭합니다. 마지막으로 보안 탭에서 인증서 보기 버튼을 클릭하여 인증서 세부 정보를 봅니다.

Chrome을 사용하는 경우 세부 정보 링크를 클릭한 다음 보안 개요 탭에서 인증서 보기 버튼을 클릭합니다.

유효 기간 섹션 아래에는 인증서와 관련된 두 날짜가 있습니다. 발행일 및 만료일 . 첫 번째는 인증서가 활성화된 날짜이고 두 번째는 만료 날짜입니다. 만료 날짜가 지나면 인증서를 갱신해야 하고 통신이 더 이상 안전하지 않습니다!

SSL에 관심을 갖는 이유는 무엇입니까?

여러 가지 이유가 있습니다! 웹사이트와 방문자 간의 통신을 보호하고, 웹사이트의 ID를 인증하고, 브라우저와 웹 서버 간의 데이터 무결성을 보장하고, 더 높은 SEO 순위도 얻습니다.

보안 통신과 인증된 ID는 좋은 것 같지만 웹사이트를 무엇으로부터 보호합니까? 어떤 사람들에게는 개념이 모호해 보일 수 있습니다. 실제로 이 두 가지는 컴퓨터 보안에 기록된 가장 고전적인 공격 방법 중 하나일 것입니다. "중간자" 공격(또는 줄여서 MitM)입니다.

Alice가 운영하는 웹사이트가 있고 Bob이 방문한다고 가정해 봅시다(공격은 웹사이트뿐만 아니라 다른 서비스에서도 작동합니다). 여태까지는 그런대로 잘됐다. 그러다가 찰스라는 악당이 있다(컴퓨터 보안 분야의 악당들은 보통 무슨 이유에서인지 찰스라고 부른다. 드라이 마티니와 비밀 은신처가 떠오른다.)

Charles는 이 기사에서 다루기에는 너무 복잡한 여러 기술을 사용하여 Alice와 Bob 사이의 통신 채널을 제어합니다. 그는 그들 사이에 조용히 그리고 보이지 않게 앉아 있습니다.

Bob은 Alice의 웹 사이트를 방문할 때 Alice로부터 데이터를 보내고 받는다고 생각합니다. 실제로 그가 보내는 데이터는 Charles를 통해 전달되고, Charles는 이를 Alice에게 전달합니다. Alice의 웹 사이트가 응답하면 데이터가 Charles에서 Bob으로 다시 전달됩니다. 강력한 도청을 하는 것과 똑같습니다. 이메일, 비밀번호, 신용카드와 같은 민감한 데이터를 저장할 수 있는 것 외에도 Charles는 Alice의 웹사이트나 Bob의 웹 브라우징 세션의 일부를 가장할 수도 있습니다.

따라서 여기에서 두 SSL 동맹인 인증된 ID 및 보안 통신이 구출되는 위치를 알 수 있습니다!

웹사이트가 SSL로 보호되면 메시지 가로채기(Man-in-the-middle) 공격을 차단하기가 훨씬 더 어려워집니다. Bob은 Alice의 웹 사이트에 연결할 때 서버의 인증서를 받고 CA에 대해 유효성을 검사합니다. 인증서가 검증된 후 서버와 클라이언트는 몇 가지 추가 정보를 교환한 다음 데이터 통신이 시작됩니다(예: 사용할 암호 유형, 핸드셰이킹이라는 프로세스). Charles가 Bob에게 자신의 공개 키를 전송하여 Alice를 가장하려고 시도한다면 그는 그리 멀리 가지 않을 것입니다. 인증서 내부에는 파일의 무결성을 보장하는 디지털 서명이라는 데이터 문자열이 있습니다. 인증서의 일부가 변경되면 서명도 변경됩니다.
따라서 Charles가 공개 키를 변경하려고 시도하면 CA는 인증서를 거부하고 Bob에게 알립니다(CA에서 계산한 디지털 서명이 인증서의 현재 서명과 일치하지 않기 때문). Charles는 Alice의 개인 키가 없기 때문에 통신을 해독할 수 없습니다. Charles가 무엇이든 할 수 있는 유일한 방법은 CA의 서버도 손상시키려고 시도하는 것입니다.

그러나 마티니를 마시는 나쁜 사람들로부터 당신을 보호하는 것 외에도 SEO 순위도 향상됩니다! Zineb Ait Bahajji와 Gary Illyes의 Google 웹마스터 블로그 게시물에 따르면 HTTPS가 순위 신호로 사용됩니다.

" 긍정적인 결과를 보았으므로 HTTPS를 순위 신호로 사용하기 시작했습니다. 현재로서는 매우 가벼운 신호일 뿐입니다. 그러나 시간이 지나면서 모든 웹사이트 소유자가 웹에서 모든 사람을 안전하게 보호하기 위해 HTTP에서 HTTPS로 전환하도록 권장하기 때문에 시간이 지나면서 이를 강화하기로 결정할 수도 있습니다. "

또한 9월부터 Google 보안 블로그는 Chrome 브라우저가 웹사이트에 "안전하지 않음"이라는 레이블을 명시적으로 표시하기 시작할 것이라고 발표했습니다. 이것은 "보다 안전한 웹으로 이동"하고 사용자의 인식을 높이기 위한 노력으로 수행됩니다.

어떻게 작동합니까?

지금까지 SSL 인증서와 SSL 인증서가 보안 및 ID 인증을 제공하는 데 얼마나 중요한지에 대해 이야기했습니다. 이 섹션에서 우리는 소매를 걷어붙이고 핵심적인 내용으로 들어갈 것입니다!

SSL은 공개 키 인프라(또는 정렬의 경우 PKI)라는 시스템을 사용하여 작동합니다.
PKI는 안전하지 않은 네트워크에서 안전하게 통신하는 방법의 문제를 해결하는 데 사용되는 컴퓨터 보안 시스템입니다. 간단히 말해서 Alice와 Bob이 인터넷을 통해 안전하게 통신하려면 일종의 암호화 키를 교환해야 합니다. 그러나 그들이 이것을 하고 그들 사이에 있고 컴퓨터를 소유한 누군가가 그 키를 얻는다면 그는 미래의 모든 통신을 읽을 수 있을 것입니다! (Charles 유형의 사람이 아닐 수도 있습니다. 작업의 특성으로 인해 시스템 관리자는 서버를 통과하는 모든 일반 텍스트 데이터에도 액세스할 수 있습니다.)

이것은 역설적인 문제처럼 보일 수 있지만 하나가 아닌 한 쌍의 키를 사용하여 해결됩니다. 공개 및 비공개:

Alice와 Bob은 공개 키를 교환합니다. 이것들은 공개되어 있기 때문에 걱정 없이 안전하지 않은 네트워크를 통해 보낼 수 있습니다. 사실, 그것을 공개적으로 게시하는 것이 그들의 의도된 용도입니다!
그런 다음 Alice는 Bob의 공개 키 와 함께 그녀의 개인 키 를 사용하여 Bob에게 보내려는 메시지를 암호화합니다.
Bob은 메시지를 받고 Alice의 공개 키로 자신의 개인 키 를 사용하여 암호를 해독합니다.

개인 키는 일반적으로 컴퓨터(또는 USB 드라이브 또는 안전한 위치)에 로컬로 저장됩니다. 누가 귀하의 이메일이나 네트워크 통신을 읽든 귀하의 개인 키가 없으면 왜곡된 텍스트만 받게 됩니다.

공개 키 암호화의 또 다른 유용한 측면은 디지털 서명의 개념입니다. Charles가 인증서를 변조하려고 할 때 앞에서 언급했습니다.
Alice가 Bob에게 메시지를 보낼 때 그녀는 또한 그녀의 개인 키를 사용하여 디지털 서명할 수 있습니다. 이렇게 하면 메시지가 실제로 다른 사람이 아닌 Alice가 보낸다는 것을 확인할 수 있습니다. 디지털 서명은 실제로 인증서 정보를 사용하여 계산되는 긴 16진수 문자열입니다. 인증서에서 1바이트가 변경되더라도 디지털 서명도 변경되고 CA는 이를 거부합니다.

SSL 인증서는 시스템(일반적으로 웹 서버)에 설치되고 동일한 방식으로 작동하는 데이터 파일입니다. 통신을 암호화하고 엔터티(이 경우 웹사이트)의 ID를 보장합니다. 다음과 같은 정보가 포함되어 있습니다.

인증서 소유자의 이름
이메일 주소
유효 기간
웹 서버의 정규화된 도메인 이름
소유자의 공개 키
인증서가 어떤 식으로든 변경되지 않았음을 보장하는 디지털 서명입니다.

이 모든 정보를 사용하여 엔티티/조직을 해당 시스템과 효과적으로 연관시킵니다.

인증서를 발급하는 방법은 두 가지가 있습니다. 첫 번째는 직접 서명하는 것이고(자체 서명), 두 번째는 인증 기관을 통해 획득하는 것입니다(신뢰할 수 있음).

자체 서명된 인증서와 신뢰할 수 있는 인증서의 차이점은 무엇입니까?

자체 서명된 인증서는 신뢰할 수 있는 인증서와 동일한 수준의 암호화를 제공하지만 소유자의 ID를 보장하지는 않습니다. 소유자를 시스템에 묶을 필요가 없는 로컬 네트워크 인프라 또는 테스트에 주로 사용됩니다.

반면에 신뢰할 수 있는 인증서는 암호화 및 ID 인증을 모두 제공합니다. 인증서는 여러 배경 확인을 사용하여 인증서 소유자의 신원을 확인하는 제3자(CA)에서 발급합니다.

따라서 이는 CA를 신뢰해야 함을 의미합니다. 그것이 불량품이라면 어떻게 알 수 있습니까?

이것은 확실히 일어날 수 있으며 과거에 여러 번 일어났습니다. 이것은 실제로 신뢰의 문제이기 때문에 유일한 해결책은 사용 중인 CA가 알려지고 확립되고 존경받는 조직인지 확인하는 것입니다. CA는 인증 발급에 대해 비용을 청구하지만(보통 10달러에서 세 자리 합계까지) 비싼 CA가 더 많은 신뢰와 안전을 의미한다고 생각하는 함정에 빠지면 안 됩니다!

Let's Encrypt를 사용하여 웹사이트를 SSL로 보호하는 방법

Let's Encrypt 인증서를 생성하고 웹 서버에 설치하는 방법에는 여러 가지가 있습니다. 프로세스는 Unix 셸에서 작업할지 여부, 실행 중인 웹 서버 유형 등에 따라 다릅니다. 브라우저에서 Let's Encrypt의 시작하기 페이지로 이동하여 자세한 정보를 확인하십시오.

기존의 Pressidium 클라이언트라면 이보다 더 쉬울 수 없습니다!
먼저, 귀하의 프레시디움 포털 계정에 로그인하십시오:

SSL 인증서 탭을 클릭합니다.
무료 Let's Encrypt 인증서 생성 버튼을 클릭합니다.
Let's Encrypt 설치 드롭다운 메뉴에서 인증서를 설치하려는 웹사이트를 선택합니다.
마지막으로 SSL 인증서 생성 및 설치 버튼을 클릭하면 완료됩니다!

웹사이트에서 SSL이 활성화되어 있는지 테스트하려면 브라우저를 열고 주소에 https 를 사용하여 웹사이트 URL을 방문하세요. 브라우저에 친숙한 녹색 보안 자물쇠 기호가 표시되면 비즈니스를 시작한 것입니다!

새 Let's Encrypt 인증서의 기간은 90일이지만 자동으로 갱신됩니다. 포털에서 구매한 인증서를 관리하고 설치할 수도 있습니다. 이 기술 자료 게시물을 읽고 이에 대한 모든 정보를 얻으십시오!

보안은 턴키 솔루션이 아닌 프로세스입니다.

어려운 사실은 단순히 무언가를 구입하거나 소프트웨어를 설치하고 잊어버리고 모든 보안 문제를 성공적으로 처리했다고 생각할 수 없다는 것입니다. 컴퓨터 보안은 기술적 메커니즘, 정책, 컴퓨터, 그리고 무엇보다도 사람과 인간 심리를 포함하는 거대한 퍼즐입니다! 퍼즐의 모든 조각을 올바르게 잡고 지속적으로 관리해야 합니다. 이는 턴키 솔루션이 아닌 프로세스입니다.

인적 요소는 악의적인 사용자에 의해 계속해서 악용되는 것입니다. 우리는 정보를 제공하고 도구를 제공하며 인터넷 보안 문제에 대한 대중의 인식을 높이려는 모든 이니셔티브를 100% 지지합니다. 향후 게시물에서 우리는 WordPress 보안 측면에 대해 더 깊이 있고 철저하게 탐구할 것입니다. WordPress는 많은 사람들에게 가치와 음식을 제공하기 위해 사람과 기업에서 사용합니다. 보안 사고는 더 이상 웹 사이트 손상 및 사이버 낙서에 관한 것이 아니라 다른 사람의 삶에 가시적으로 영향을 미칩니다. 그리고 이것은 우리가 매우 진지하게 생각하는 것입니다.