DB 접속시 SSL을 사용하는데 사용되는 파일들 용도 이해가 잘 안 됩니다.

Question

안녕하세요.특정 프로젝트에 투입되어 DB 접속 가이드를 보고 접속했습니다.DB툴의 SSL 옵션을 체크하고 CA 파일, Certificate 파일, Key 파일을 각각 등록하여 접속하는 것인데요.CA는 Certifacte Authority 즉 인증 기관으로 알고 있습니다.인증 기관 목록 파일은 DB 서버에 있어야 하는 것 아닌가요?CA파일과 (해당 CA에서 발급되었을) Certificate 파일, (해당 Certificate 파일을 발급받을 때 생성했을) Key 파일을전부 클라이언트가 가지고 있다는 건데, 그러면 클라이언트가 CA부터 조작해서 다 만들어낼 수 있고 그럼 인증 의미가 없는 것 아닌가요?정말 죄송한데 적다보니 인증이 아닌 전송 데이터 암호화를 위해 사용하는 것인가 싶은데 맞을까요?명확히 이해한 건 아닌데 HTTPS를 서버에 설정(CA로부터 인증서를 받고 Key를 생성)했던 것처럼제 로컬이 그 입장이 되는 것으로 보이는데 맞을까요?두서 없이 질문드려 죄송합니다.부연설명이나 참고해야할 키워드, 링크 등 알려주시면 정말 감사하겠습니다.

카카오콘 · Accepted Answer

딥한 설명은 윗분들이 해주셨고, 아마 질문자님이 헷갈리시는 부분에 대한 설명은 이렇습니다.클라이언트가 서버에 연결한다고 할 때 간과하게 되는 부분이 하나 있습니다.&#34;내가 연결하려고 하는 서버로 올바르게 연결했다.&#34;서버가 나를 거부할지언정, 내가 연결하려는 서버에는 한치의 잘못 됨이 없다. 라는 잘못 된 믿음을 가진다는거죠.그러나 해킹은 다양한 방법으로 이루어집니다. 유사한 서버를 만들거나, 중간에 시도를 &#34;가로채거나&#34;.그럼 이런 관점으로 봤을 때, 내가 연결하고자 하는 서버가, 정말 &#34;내가 원하던 서버&#34; 일까요?그것을 어떻게 증명할 수 있을까요. 내가 입력한건 단순히 서버 URL과 계정 정보밖에 없는데..요청이 가로채진게 아니라고 정말 확신할 수 있을까요?바로 이럴 때 사용되는 것이 CA 인증서 입니다.서버가 나를 검증하는 것 처럼, 나 역시 서버를 검증합니다.내가 신뢰할 수 있는, 내가 알고 있는 그 서버가 맞느냐? 라고 &#34;니 서버 정보&#34; 내놔, 내가 비교할거야. 라고 하는거죠.내가 알고 있는 서버 정보(클라이언트가 보유한 CA 인증서) 는 이건데, 서버가 너라고 증명하는 정보는 무엇이지?만약 요청이 가로채여서 올바른 서버가 아니라면, 이 요청에 정상적인 응답을 줄 수 없겠죠.그런식으로 나 역시 서버를 검증하기 위한 용도입니다.만약 공식적으로 발급받은 인증서라면, 그 목록이 이미 내장 되어 있으니 (전 세계적으로 한정되었기에)별도로 CA 인증서를 발급 받아 지정할 필요는 없고 온라인 및 내장 리스트로 검증할 수 있습니다.하지만 사설 인증서라면 그 목록에는 없기에, 직접 등록한 후&#34;이 사설 CA 인증서&#34; 로 인증 할 수 있는 서버, 맞아? 라고 묻는겁니다.

JethroHolic · Answer

CA에 대한 파일의 필요성에 대해 생각하시는 것 같은데, 일반적으로 공신력 있는 인증기관에서 발급한 인증서에 대해서는 공신력 있는 인증기관 리스트가 내장되있어서 필요 없으나, 사설로 운영하는 CA에 대해서는 따로 등록해줘야하는 것으로 알고 있습니다.인증서 방식이 Chaining 방식이여서 A가 B를 인증해줌 → B가 C를 인증해줌 → .... 식인데, 맨 위가 내장된 CA 아닐때 해주는 걸꺼에요..

カワウソ · Answer

CA에서 전달하는 개인키가 포함된 인증서가 아니라 공개키가 포함된 X.509 인증서입니다.본문에서 DB 서버에 있어야하는게 아니냐는 접근은 브라우저나 운영체제가 저장하고 있는 CA 인증서 목록과 어긋나는 부분입니다. 가끔씩 서버에서 CA 인증서를 별도로 제공하는 이유는 CA 인증서 체인이 아니면 가끔 정상적으로 연결이 불가능한 케이스가 있어서 그럴 수 있습니다.

DB 접속시 SSL을 사용하는데 사용되는 파일들 용도 이해가 잘 안 됩니다.

3개의 답변

Q&A 목록