APACHE SECURED BY SSL <subtitle>Apache-SSL <author>Team A.L. Digital & Apache-SSL <date>Feburary 5, 2000 <trans>조대현, <htmlurl url="mailto:cool@hansaram.sarang.net" name="cool@hansaram.sarang.net"> <tdate>v0.3 2000년 2월 20일 <abstract> 이 문서는 https://www.apache-ssl.org/ 의 내용을 번역(?) 한 것입니다. </abstract> <!-- 차례 --> <toc> <!-- Main Features --> <sect>Main Features <p> <itemize> <item>상업 비상업적 이용 가능 <item>세계 어디서나 128비트 인크립션이 가능 <item>클라이언트 증명 <item>전체 소스 코드 <item>확장가능한 모뉼형식의 API </itemize> <!-- Apache-SSL이란? --> <sect>Apache-SSL이란? <p> Apache-SSL은 <htmlurl url="http://www.apache.org" name="Apache">와 <htmlurl url="http://www.psy.uq.oz.au/~ftp/Crypto/" name="SSLeay">/<htmlurl url="http://www.openssl.org" name="OpenSSL">을 기반으로 하는 보안 웹서버이다. 이것은 BSD 형식의 <htmlurl url="http://www.apache-ssl.org/LICENCE.SSL.txt" name="license">에 기반한다. 간단히 copyright notices만 유지한다면 상업적이든 비 상업적이든 공짜로 쓸수 있단 말이다(단지 서버를 돌리기 전에 <htmlurl url="http://www.psy.uq.oz.au/~ftp/Crypto/#is this legal" name="SSLeay Is this legal? FAQ">는 읽어 보길 권한다). This is the same license as used by Apache from version 0.8.15 <!-- 다운로드 --> <sect>다운로드 <p> 현재 릴리즈: <tt><bf>Apache_1.3.11+ssl_1.38</bf></tt> 릴리즈 날짜: <tt><bf>2000년 1월 25일</bf></tt> <p> 당신은 또한 <tt><bf>openssl-0.9.4</bf></tt>가 필요하고 <htmlurl url="http://www.openssl.org" name="여기">서 구할 수 있다. <p> Apache-SSL 소스 패치는 다음 UK 마스터 배포 사이트에서 구할 수 있다: <itemize> <item><htmlurl url="ftp://ftp.ox.ac.uk/pub/crypto/SSL/Apache-SSL" name="Oxford University."> <item><htmlurl url="ftp://ftp.master.pgp.net/pub/crypto/SSL/Apache-SSL" name="University of Cambridge Computer Laboratory">와 <htmlurl url="ftp://ftp.master.pgp.net/pub/crypto/README" name="미러"> </itemize> 다른 FTP 미러 사이트들: <itemize> <item><htmlurl url="ftp://ftp.zedz.net/pub/crypto/apache/Apache-SSL" name="ftp.zedz.net"> (The Netherlands) <item><htmlurl url="ftp://ftp.win.ne.jp/pub/network/www/Apache-SSL" name="ftp.win.ne.jp"> (Japan) <item><htmlurl url="ftp://ftp.sage-au.org.au/pub/network/security/apache-ssl/Apache-SSL" name="ftp.sage-au.org.au"> (Australia) <item><htmlurl url="ftp://ftp.vwv.com/pub/crypto/SSL/Apache-SSL" name="ftp.vwv.com"> (South Africa) <item><htmlurl url="ftp://mirror.aarnet.edu.au/www/servers/apache-ssl" name="mirror.aarnet.edu.au"> (Australia) <item><htmlurl url="ftp://ftp.it.net.au/mirrors/crypto/SSL/Apache-SSL" name="ftp.it.net.au"> (Australia) <item><htmlurl url="ftp://ftp.infoscience.co.jp/pub/Crypto/SSL/Apache-SSL/Apache-SSL" name="ftp.infoscience.co.jp"> (Japan) <item><htmlurl url="ftp://ftp.funet.fi/pub/crypt/mirrors/ftp.ox.ac.uk/SSL/Apache-SSL" name="ftp.funet.fi"> (Finland) <item><htmlurl url="ftp://apache-ssl.raver.net/pub/ftp.apache-ssl.org/Apache-SSL" name="apache-ssl.raver.net"> (Canada) <item><htmlurl url="ftp://ftp.pca.dfn.de/pub/tools/net/sslapache/Apache-SSL" name="ftp.pca.dfn.de"> (Germany) <item><htmlurl url="ftp://ftp.sekure.net/pub/apache-ssl" name="ftp.sekure.net"> (Sweden) <item><htmlurl url="ftp://ftp.clinet.fi/mirrors/ftp.apache-ssl.org/pub" name="ftp.clinet.fi"> (Finland) <item><htmlurl url="ftp://opensores.thebunker.net/pub/mirrors/apache-ssl" name="opensores.thebunker.net"> (UK) <item><htmlurl url="ftp://ftp.gin.cz/pub/MIRRORS/ftp.ox.ac.uk/pub/crypto/SSL/Apache-SSL" name="ftp.gin.cz"> (CZ) </itemize> <p> 또는 HTTP 미러 사이트들: <itemize> <item><htmlurl url="http://mirror.aarnet.edu.au/www/servers/apache-ssl" name="mirror.aarnet.edu.au"> (Australia) <item><htmlurl url="http://ftp.it.net.au/mirrors/crypto/SSL/Apache-SSL" name="ftp.it.net.au"> (Australia) </itemize> <p> O/S specific 버전들: <itemize> <item><htmlurl url="http://www.redhat.com/" name="RedHat">, <htmlurl url="http://www.caldera.com/" name="Caldera"> 그리고 <htmlurl url="http://www.turbolinux.com/" name="TurboLinux"> 소스와 실행가능한 .rpm 들 역시 뒤에 나열된 모든 서버의 contrib/rpms 디렉토리에서 찾을 수 있다. <item><htmlurl url="http://www.freebsd.org"> 포트 있는 곳: <htmlurl url="http://www.freebsd.org/ports/www.html" name="http://www.freebsd.org/ports/www.html">. </itemize> <!-- 필요한것은? --> <sect>필요한 것은? <p> 필요한 것들은 <htmlurl url="http://www.apache.org" name="아파치">(1.2.0+ 과 1.3.0+ 버전에서 가능)용 패치와 몇개의 특별한 소스 파일, 아주 조금의 README와 설정 예제 파일들이다. 패치는 아파치 소스에 적용된 후에 컴파일 되고, SSLeay(<htmlurl url="http://www.psy.uq.oz.au/~ftp/Crypto/#Where to get {{SSLeay}} - FTP site list" name="버전 0.5.1b+">) 또는 <htmlurl url="http://www.openssl.org" name="OpenSSL">과 연결된다. The modified source will still compile a standard Apache as well as Apache-SSL. <!-- 최신으로 유지하기 --> <sect>최신으로 유지하기 <p> 업그레이드를 가장 잘 알 수 있는 방법은 가장 최신의 버전을 알려주는 발표(announce) <htmlurl url="#Mailing_List" name="메일링 리스트">에 가입하는 것이다. <!-- 벌레 잡기와 패치 --> <sect>벌레 잡기와 패치 <p> 벌레나 개선사항은 <htmlurl url="mailto:ben@algroup.co.uk" name="ben@algroup.co.uk">로 보내라. <p> 버그나 문제점들을 레포팅하는데 부담을 느끼지 마라. 그러나, (당신이 돈을 지불할 의사가 있더라도.. --;) 약속(고친다는?)은 못하겠다. <!-- 상업적 지원 --> <sect>상업적 지원 <p> 아파치나 Apache-SSL 둘다 상업적인 지원이 가능하다. 흥미 있거든 <htmlurl url="mailto:ben@algroup.co.uk" name="ben@algroup.co.uk">로 메일을 보내라. <!-- 전자 증명 --> <sect>전자 증명 <p> 다음은 페이지 링크를 요청해온 회사들이다. 나는 아래 단체들을 보증, 추천하지도 않고 나와의 관계 역시 전혀 없다. 요청한 순으로 나열하였다. <p> Apache-SSL용 전자 증명이 가능한 곳들: <itemize> <item>Thawte Consulting, at <htmlurl url="http://www.thawte.com/certs/server/request.html" name="http://www.thawte.com/certs/server/request.html"> <item>CertiSign Certificadora Digital Ltda., at <htmlurl url="http://www.certisign.com.br/" name="http://www.certisign.com.br/"> <item>IKS GmbH, at <htmlurl url="http://www.iks-jena.de/produkte/ca/" name="http://www.iks-jena.de/produkte/ca/"> <item>BelSign NV/SA, at <htmlurl url="http://www.belsign.be/" name="http://www.belsign.be/"> <item>VeriSign, Inc. at <htmlurl url="http://www.verisign.com/guide/apache/" name="http://www.verisign.com/guide/apache/"> <item>TC TrustCenter (Germany) at <htmlurl url="http://www.trustcenter.de/html/Produkte/TC_Server/855.htm" name="http://www.trustcenter.de/html/Produkte/TC_Server/855.htm"> <item>NLsign B.V. at <htmlurl url="http://www.nlsign.nl/" name="http://www.nlsign.nl/"> <item>Deutsches Forschungsnetz at <htmlurl url="http://www.pca.dfn.de/dfnpca/certify/ssl/" name="http://www.pca.dfn.de/dfnpca/certify/ssl/"> <item>128i Ltd. (New Zealand) at <htmlurl url="http://www.128i.com/" name="http://www.128i.com/"> <item>Entrust.net Ltd. at <htmlurl url="http://www.entrust.net/products/index.htm" name="http://www.entrust.net/products/index.htm"> <item>Equifax Inc. at <htmlurl url="http://www.equifaxsecure.com/ebusinessid/" name="http://www.equifaxsecure.com/ebusinessid/"> <item>GlovalSign NV/SA at <htmlurl url="http://www.globalsign.net/" name="http://www.globalsign.net/"> <p> <item>물론 당신의 사이트도 넣을 수 있다. </itemize> <!-- PGP key --> <sect>PGP 키(key) <p> 나에게 사적인 메일을 보낼려면, <htmlurl url="http://www.apache-ssl.org/ben.key.txt" name="여기">내 PGP키가 있다. 제발 빌요한 데만 써달라; 나는 패스문(passphrase) 타이핑이 정말 싫다.. --+ <!-- Frequently Asked Question --> <sect>FAQ <p> <sect1>Apache-SSL 은 한동안 업데이트 되지 않았다 - 이건 낡았다(out-of-date)는 말인가? <p> 아니다, 위말은 그것(Apache-SSL)이 사람들이 원하는 만큼 잘 작동한다는 뜻이다. 우리는 고쳐져야 할 버그가 있을때와 새 버전의 Apache(이하 아파치)가 나올때, 또는 누군가가 새로운 기능을 원할때만 업데이트 한다. <sect1>내 브라우저는 왜 Apache-SSL에 접속할 때 멈춰있기만 하나? <p> <tt/https:/ 대신에 <tt/http:/를 사용했기 때문이다. 또, 에러 로그에서 다음 메시지를 본게 된다면 역시 위와같은 이유에서다. <verb> SSL_Accept failed error:140760EB:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol </verb> <sect1>패치가 적용이 안되는데, 뭐가 잘못된건가? <p> 다음과 같은 결과를 얻는다면, <verb> $patch < SSLpatch Looks like a new-style context diff. File to patch: </verb> 아마 옛날 버전의 patch를 가지고 있을 것이다. 2.1 이상의 버전으로 바꾸고 다시 시도하라. <sect1>HTTP가 포트(port) 80을 쓰는건 아는데, HTTPS는? <p> 당신은 HTTPS를 아무 포트에서나 돌릴 수 있지만, 대부분의 브라우저가 기본으로 찾는 표준 포트는 443이다. 너(헉.. 언제부터.. --;)는 다음과 같이 URL에 포트번호를 지정해서 브라우저가 강제로 찾도록 할 수 있다. <verb>https://secure.server.hell:666</verb> <sect1>나는 한 머신에서 보안(secure), 비보안(non-secure) 서버를 같이 돌리고 싶다. 가능한가? <p> 두가지 방법이 있다. 두개의 서버 대몬을 돌리거나, 한 대몬에서 두가지 서비스를 동시에 하거나. 두 대몬를 돌리는 좋은 이유가 있더라도, 보통 가장 간단하게 한 서버를 돌리고 SSL이 필요없는 부분은 가상호스트(virtual host)로 그 기능을 꺼버리면 된다. 만약 두개의 대몬을 돌리고 싶다면 각 서버가 정해진 포트(보통 비보안은 포트 80, 보안은 443) 하고만 연결 되도록 해야 한다. 하나의 서버만 돌리고 싶다면, 어떻게 설정하는지 여기 <htmlurl url="http://www.apache-ssl.org/httpd.conf.example" name="예제"> 설정 파일이 있다. <sect1>이제 막 서버를 설치 했다. 테스트 증명서는 어떻게 만드나? <p> 단계 하나 - 키(key)와 요청(request, 청, 청구.. 머야.. --;)를 만들어라. <verb> openssl req -new > new.cert.csr </verb> 단계 둘 - 키에서 패스문(passphrase)를 지워라(선택사항이다). <verb> openssl rsa -in privkey.pem -out new.cert.key </verb> 단계 셋 - 요청(request)을 서명된 증명(cert)으로 바꿔라.(바꿔, 바꿔, ^^;) <verb> openssl x509 -in new.cert.csr -out neww.cert.cert -req -signkey new.cert.key -days 365 </verb> 위 결과를 Apache-SSL의 지시자로 다음과 같이 사용한다. <verb> SSLCertificateFile /path/to/certs/new.cert.cert SSLCertificateKeyFile /path/to/certs/new.cert.key </verb> <sect1>클라이언트 증명서는 어떻게 만드나? <p> 단계 하나 - 위 처럼 CA 증명/키 쌍을 만든다. 단계 둘 - CA 키로 고객 요청에 서명한다. <verb> openssl x509 -req -in client.cert.csr -out client.cert.cert -signkey my.CA.key -CA my.CA.cert -CAkey my.CA.key -CAcreateserial -days 365 </verb> 단계 셋 - 'client.cert.cert' 파일을 요청하는이에게 넘겨주라. Apache-SSL은 다음을 추가 함으로써 이 증명서의 확인이 가능하다. <verb> SSLCACertificateFile /path/to/certs/my.CA.cert SSLVerifyClient 2 </verb> <sect1>내 CGI로 어떻게 클라이언트 증명에 접근하는가? <p> 릴리즈 apache_1.3.2+ssl_1.27 이상에서는 다음 지시자를 사용한다. <verb> SSLExportClientCertificates </verb> 이것은 클라이언트 증명의 내용을 포함하는 환경변수를 만들게 된다. 더 자세한 것은, docs 섹션의 <htmlurl url="http://www.apache-ssl.org/docs.html#SSLExportClientCertificates" name="SSLExportClientCertificates">를 보라. 작동 예제도 있다: <htmlurl url="https://www.apache-ssl.org/cgi/cert-export" name="https://www.apache-ssl.org/cgi/cert-export"> <sect1>FontPage98 Extensions with Apache-SSL은 어떻게 설치하나? <p> Bertrand Renuart가 이에 대한 자세한 내용을 <htmlurl url="http://www.itma.lu/howto/apache" name="http://www.itma.lu/howto/apache">에서 기술하고 있다. <sect1>Verisign cert를 설치할 때, 왜 "getca", "getverisign"을 찾을 수 없는가? <p> Apache-SSL 명령에서 Verisign은 지원되지 않기 때문이다. 사용하고 싶다면 Stronghold(상용 아파치 기반 SSL 지원 서버)를 사용해라. 당신이 해야 할 일은 단지 증명을 파일에 저장하고 그 이름을 SSLCertificateFile지시자에 넘겨주면 된다. 키파일도 넘겨야 하는걸 기억해라. <sect1>일반적인 컴파일 에러 <p> <verb> gcc -c -I../os/unix -I../include -I/usr/local/ssl/include -funsigned-char -DTARGET=\"httpsd\" -DAPACHE_SSL `../apaci` -DAPACHE_SSL buff.c buff.c: In function `ap_read': buff.c:259: structure has no member named `stats' buff.c:267: structure has no member named `stats' buff.c:268: structure has no member named `stats' buff.c:269: structure has no member named `stats' buff.c:271: structure has no member named `stats' buff.c: In function `ap_write': buff.c:346: warning: passing arg 2 of `SSL_write' discards `const' from pointer target type *** Error code 1 </verb> <htmlurl url="https://www.openssl.org" name="OpenSSL">을 업그레이드 해야 한다. <sect1>Y2K 문제는? <p> Apache-SSL 하부의 컴포넌트에는 날짜관련 처리가 없어서 당신 시스템의 전체적인 컴플라이언스(compliance)엔 영향을 받지 않는다. 메인 컴포넌트인 아파치는 Y2K에 대해서 <htmlurl url="http://www.apache.org/docs/misc/FAQ.html#year2000" name="이렇게"> 이야기 하고 있다. 또한 당신은 OS, 하드웨어와 다른 모듈을 검사해야 한다. <!-- 메일링 리스트 --> <sect>메일링 리스트 <p> 두 Apache-SSL 메일링 리스트가 있다. Apache-SSL 커뮤니티(community)로부터 일반적인 도움이나 지원을 원하면, <htmlurl url="mailto:apache-ssl-help@lists.aldigital.co.uk?SUBJECT=anyoldthing" name="apache-ssl-help@lists.aldigital.co.uk">로 빈 메일을 보내라. 이것은 질문에 대한 해답을 얻는 가장 빠른 경로 일 것이다. 그러나, 질문을 포스팅하기전에 <htmlurl url="http://www.lists.aldigital.co.uk/" name="archive">에 답이 있는지부터 확인해라. <p> 단순히 최신으로 유지하고 새 릴리즈와 중요한 발표를 듣기만을 원한다면, <htmlurl url="mailto:apache-sslannounce-help@lists.aldigital.co.uk?SUBJECT=sameoldsameold" name="apache-sslannounce-help@lists.aldigital.co.uk">가 있다. <!-- Apache-SSL은 mod_ssl이 아니다. --> <sect>Apache-SSL은 mod_ssl이 아니다!! <p> There appears to be some confusion regarding Apache-SSL and mod_ssl. To set the record straight: mod_ssl is not a replacement for Apache-SSL - it is an alternative, in the same way that Apache is an alternative to Netscape/Microsoft servers, or Linux is an alternative to FreeBSD. It is a matter of personal choice as to which you run. mod_ssl is what is known as a 'split' - i.e. it was originally derived from Apache-SSL, but has been extensively redeveloped so the code now bears little relation to the original. <P>Apache-SSL continues to be developed and maintained, our main focus being on reliability, security and performance, rather than features and bells and whistles. I hope this makes things clear. <em>(Adam Laurie)</em></> <!-- 링크들 --> <sect>링크들 <p> 관련 웹 자원들: <itemize> <item><htmlurl url="http://www.cs.auckland.ac.nz/~pgut001/links.html" name="Peter Gutmann's Security and Encryption-related Resources and Links"> <p><item><htmlurl url="http://www.refcards.com/" name="Andrew Ford's Apache/Apache-SSL Quick Reference Card"> </itemize> <!-- 미러 웹사이트 --> <sect>미러 웹사이트 <p> <itemize> <item><htmlurl url="http://www.infoscience.co.jp/" name="Infoscience">, Japan (Japanese language), at <htmlurl url="http://japache.infoscience.co.jp/Apache-SSL/Apache-SSL.html" name="japache.infoscience.co.jp/Apache-SSL/Apache-SSL.html">. <p><item><htmlurl url="http://www.bilkent.edu.tr/" name="Bilkent University">, Ankara, Turkey, at <htmlurl url="http://sunsite.bcc.bilkent.edu.tr/pub/infosystems/apache-ssl/Index.html" name="http://sunsite.bcc.bilkent.edu.tr/pub/infosystems/apache-ssl/Index.html">. <p><item><htmlurl url="http://www.raver.net/" name="raver.net">, Canada, at <htmlurl url="http://apache-ssl.raver.net/" name="http://apache-ssl.raver.net/">. <p><item><htmlurl url="http://www.algroup.co.uk/" name="algroup">, USA, at <htmlurl url="http://lynx.usa.algroup.co.uk/mirrors/www.apache-ssl.org/" name="http://lynx.usa.algroup.co.uk/mirrors/www.apache-ssl.org/">. <p><item><htmlurl url="http://www.instinct.org/" name="instinct.org">, Czech Republic, at <htmlurl url="http://www.instinct.org/apache-ssl/" name="http://www.instinct.org/apache-ssl/"> <p><item><htmlurl url="http://www.gin.cz/" name="gin.cz">, CZ, at <htmlurl url="http://apache-ssl.gin.cz/" name="http://apache-ssl.gin.cz/"> </itemize> <!-- Credits --> <sect>크레디트(^^;) <p> Apache-SSL was written by <htmlurl url="http://www.apache-ssl.org/ben.html" name="Ben Laurie">, who is also an <htmlurl url="http://www.apache.org/contributors/index.html#laurie" name="Apache core team member">, and an <htmlurl url="http://www.openssl.org/about/" name="OpenSSL core team member">. <p> The development of Apache-SSL is sponsored by <htmlurl url="http://www.algroup.co.uk/" name="A.L. Digital Ltd.">, and this site is hosted by tem. <p> Info on FTP mirror sites, CAs, Links, etc., should be send to: <htmlurl url="mailto:adam@algroup.co.uk,ben@algroup.co.uk?SUBJECT=Apache-SSL Web Site" name="The Web Slaves">. <p> Apache-SSL graphics courtesy of <htmlurl url="mailto:jamie@aldigital.co.uk" name="Jamie Harrison"> and <htmlurl url="http://www.wownet.org/" name="The WoW Foundation">, based on the original feather by <htmlurl url="http://www.apache.org/contributors/#terbush" name="Randy Terbush">. Feel free to replicate. <!-- Team A.L. Digital & Apache SSL --> <sect>Team A.L. Digital & Apache SSL <p> A.L. Digital Ltd. participate in the Distributed Net encryption cracking efforts, as do many of our friends. To see how our team is doing, click the team logo above. To read more about the project, click on the banner above. To join our team, affiliate yourself with team no. 5209. For your personal privacy, the team membership listing is not open to the public, and we promise not to use it ourselves. For anything. </article>