DNS과 SSL의 관계

#네트워크/웹

[원본 링크]

SSL이 어떤 식으로 동작하는지 모르는 사람이 생각보다 진짜 많더라.
대기업의 자칭 보안전문가란 사람들이 SSL이 뭔지도 모르고 이상한 소리를 하는걸 보고 좀 놀랐다.

서브도메인 등록을 요청하셨는데, SSL Pem키를 반출할 수 없어서 보안상 어려울 것 같습니다
흠...

DNS와 SSL은 다른 것이다

SSL은 DNS 없이도 사용할 수 있는 보안 프로토콜이다.
그리고 DNS는 SSL 없이도 사용할 수 있는 주소 시스템이다.

다만 이게 함께 갈 경우가 많고, 인프라 제공자들이 함께 묶어서 파는 경우가 많아서 헷갈릴 여지는 있다.
보안을 전공한 사람들이 이걸 모르는건 좀 아닌 것 같긴 하다만.

SSL을 발급하는 법

SSL에는 호스트(보통 DNS)를 넣을 수 있다. 필수는 아니지만 넣어야만 브라우저 환경에서 일반적인 흐름으로 기능한다.

흐름은 이렇다.

브라우저가 naver.com의 IP 1.2.3.4를 가져온다. (DNS Lookup)

IP 1.2.3.4를 통해 서버와 SSL Handshake를 시작한다.

서버가 자신의 공개 인증서를 브라우저에게 전송한다.

브라우저는 인증서를 검증한다.

여기서 인증서가 CA에서 발급한 것인지 확인한다.

브라우저는 CA의 공개키를 전부 갖고 있기 때문에, 이를 통해 빠른 검증이 가능하다.

CA 검증이 끝났다면, 브라우저는 SSL 인증이 안전하다고 판단하고 HTTPS 통신을 이어간다.

당장 naver 블로그의 인증서만 열어봐도 뭐가 이렇게 잔뜩 박혀있다.

네이버의 경우에는 자기들이 쓰는 도메인을 죄다 짱박아놓고 돌려쓰는 것 같더라.

그럼 이 인증서란 것을 만들려면 어떻게 할까?
사실 인증서를 만드는 것 자체는 누구나 할 수 있다. 인증서 자체에는 고유성이나 소유권 같은 것이 존재하지 않는다.
다만 브라우저에 한해서 "신뢰할 수 있는 업체"에서 제공하는 인증서가 필요할 뿐이다. 이 "신뢰할 수 있는 업체"의 대표적인 예시가 Let's Encrypt다. 이런 업체를 통해서 SSL 인증서가 등록되어있다면, 브라우저가 내장된 공개키 기반으로 검증을 처리한다.

Let's Encrypt가 인증서를 발부하는 법

SSL 인증서 자체는 누구나 생성할 수 있다고 했다.

하지만 Let's Encrypt 같은 상위 인증 업체(CA)들은 공신성을 유지해야 하기 때문에 아무나 뽑을 수 있게 허락해주지는 않는다. 해당 "DNS를 소유하고 있음"을 인증해야 SSL를 뽑아서 제공해준다.

이 인증이라는게 대단한 것은 아니다.
Let's Encrypt가 특정 레코드를 DNS에 등록해달라고 하면, 하라는대로 등록해주면 된다. 그럼 Let's Encrypt가 DNS Lookup으로 등록을 확인해서 소유권 증빙을 갈음하는 것이다. 그리고 SSL을 내어준다.

이런 흐름으로 이어지는 것이다.

Vercel 같은 서비스에서 DNS 등록을 할때도 DNS에 레코드 등록을 요청하는데, 이게 딱 Let's Encrypt의 증빙을 대행하는 것이다.
Vercel이 Let's Encrypt를 쓴다.