서버 / IT openssl 이슈

openssl이 유료라고 한게 아닙니다.

원칙적으로 유료 CA를 쓰는게 정식사용인데, 유료로 못할 곳에서 쓰는게 openssl이라는 겁니다.

OPEN SSL 설명

https://www.lesstif.com/pages/viewpage.action?pageId=6979614

HTTPS와 SSL 설명

https://opentutorials.org/course/228/4894

openssl이야 그냥 대강 서버에서 CA를 만들어 쓰지만,

정식으로 "브라우저에 등록된" CA 기관들은 대부분 유료입니다.

소규모 서버에서는 함부로 사용하기가 부담되죠. 물론 무료도 있고 소규모용 저가도 있지만, 무료가 아무래도 불리한게 있으니 유료가 성업(?)하는거죠.

참고로 접속시 https인데 기업명이 같이 뜨는 경우는 대개 유료 CA입니다. 돈받아먹으니 그정도 서비스는 해줘야죠. ㅋ

아래는 요금표인데,

1개 서버정도는 요금이 싼데,

다수서버 쓰는 중대형이 되면 매년 수십 만원은 나가네요.

https://sslhosting.gabia.com/service

물론 저기에 싼것도 있지만, 돈 아예 쓰기 싫을수도 있으니 openssl로 가상 CA를 만들어 쓰는거죠.

참고로 CA라는 것은 "인증기관"으로서, 유명 유료CA들은 "브라우저에" 기본적으로 등록됩니다.

https ssl이라는 것은 기본적으로 2가지 기능이 있는데, 흔히 알다시피 데이터 전송을 암호화 해주는 기능이 있는데 이건 다들 잘 아는 부분이죠.

다른 기능 하나는 "이 서버는 정상적인 주소입니다"라고 알려주는 서버인증기능입니다.

"이 서버가 (파밍되지않은) 정상주소"라는것을 확인해주려면, 논리적으로 반드시 "제 3자"가 필요해집니다.

즉, 서버-클라이언트 만 있어서는 논리적으로 어떻게해도 정상임을 증명할 수 없습니다.

여기서 "제 3자", 즉, CA가 끼어들어서 클라이언트에게 확인해주는거죠.

그런데 CA도 임의의 서버로 바꿔치기 되지 않았음을 어떻게 알까요?

그건 애초에 "일반적인 모든 브라우저"에 CA기관의 이름과 함께 서버주소까지 심어서 출시하기 때문입니다.

즉, 자동으로 뭐가 등록되고 그런게 아니라, 정식적인 계약관계로 묶여서 CA주소를 브라우저에 넣는거죠.

브라우저 제작사가 처음부터 브라우저 제조할때(?) 집어넣는것으서, IE는 MS를 믿고 가는거고, 크롬은 구글을, 파폭은 모질라재단을 믿고 가는거죠.

그렇게 CA들이 자기를 넣어달라고 브라우저 제작사에게 로비(?)하려면 무료서비스는 힘들죠.

게다가 전세계 수많은 브라우저의 확인요청에 답해줄 정식 CA서버가 있어야하고, 그것을 최상의 상태로 항상 유지해야만 합니다.

그래서 유료가 정식이고 그런겁니다.

참고로 크롬 쓰다보면, 간혹 특정사이트들은 https 에 / 사선으로 빨간색 줄을 그어버린 주소들이 있습니다.

이게 "브라우저에 미등록된 CA를 쓰는" 주소고, 대개 openssl로 임의로 만든 CA를 통한 https주소인 겁니다.

이런 경우 https의 서버인증 기능은 사실상 의미가 없다는 뜻입니다. 주고받는 데이터는 암호화 되지만, "당신이 접속한 주소는 악의적인 서버일수도 있다"는 뜻이죠.

위에서 말한 "제3자"역할을 서버에서 다 해먹는거거든요. 악의적인 의도가 있는지 여부를 믿을 수 없죠.

뭐, 사실 그냥 https를 쓰는 것이나 크게 다를바 없는거라,

빨간줄 그인 https를 만난다고 해서 유난히 더 공포(?)에 떨 필요는 없지만, 아무래도 좀 찜찜하긴 하죠.

(단순히 인증서 설치를 잘못했을수도 있긴함.)