리눅스/WSL에서 CA 인증서를 저장하는 방법
지난 글에서 openssl로 생성한 인증서를 적용한 웹 사이트를,
OpenSSL로 생성한 사용자 인증서를 ASP.NET Core 웹 사이트에 적용하는 방법
; https://www.sysnet.pe.kr/2/0/13443
(간단하게는 WSL 환경의) Ubuntu에서 접근해 보면,
$ cat /etc/resolv.conf
# This file was automatically generated by WSL. To stop automatic generation of this file, add the following entry to /etc/wsl.conf:
# [network]
# generateResolvConf = false
nameserver 172.18.208.1
$ curl https://172.18.208.1:7252
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html
curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.
당연히, CA 인증서가 해당 Ubuntu 환경에는 없으므로 인증서 검증에 실패합니다. (인증서 검증 단계를 생략하도록
--insecure 옵션을 추가하면 됩니다.)
따라서, Ubuntu 환경에도 test_ca.crt 인증서를 설치해야 하는데요,
Install CA certificates on Linux systems
; https://www.hs-schmalkalden.de/en/university/faculties/faculty-of-electrical-engineering/studium/use-of-it/install-ca-certificates-on-linux-systems
위의 글에서 소개하는 방법에 따라 (제 경우에는 Ubuntu이므로) ca-certificates 디렉터리에 복사해 둔 후,
$ sudo cp /mnt/c/temp/cert/test_ca.crt /usr/local/share/ca-certificates
update-ca-certificates 명령어를 실행하면,
$ sudo update-ca-certificates
/usr/local/share/ca-certificates 디렉터리에 복사했던 인증서가 /etc/ssl/certs/ca-certificates.crt 파일에 추가됩니다. 해당 파일에는 BEGIN/END CERTIFICATE 문자열이 잔뜩 들어가 있는데, 이것을 쉽게 해석하기 위해서는 다음의 명령어를 사용할 수 있습니다.
// List all available ssl ca certificates
// https://unix.stackexchange.com/questions/97244/list-all-available-ssl-ca-certificates
$ awk -v cmd='openssl x509 -noout -subject' '/BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt
...[생략]...
subject=CN = testca
그렇다면, 당연히 이제부터는 curl 명령어가 정상적으로 동작하게 됩니다. 만약 그래도 문제가 있다면,
SSL과 관련한 상세 정보를 얻기 위해 openssl을 이용하는 것도 좋습니다.
$ openssl s_client -showcerts -connect 172.18.208.1:7252
지난 글에서 만든 인증서는 "DNS:test.testhvpc.com" 항목도 포함하고 있는데요, 당연히 리눅스에도 (윈도우의 HOSTS 파일에 해당하는) "/etc/hosts" 파일을 편집해 해당 DNS를 설정하면,
$ cat /etc/hosts
# This file was automatically generated by WSL. To stop automatic generation of this file, add the following entry to /etc/wsl.conf:
# [network]
# generateHosts = false
172.18.208.1 test.testhvpc.com
...[생략]...
이렇게 테스트할 수 있습니다.
$ curl https://test.testhvpc.com:7252
참고로, WSL 환경의 /etc/hosts 파일은 해당 우분투 인스턴스가 재시작하면 윈도우의 HOSTS 파일로부터 재작성되므로, 지속성을 위해서라면 윈도우의 HOSTS 파일에 저 항목을 넣어두어야 합니다.
그런데, 재미있는 현상이 하나 있습니다.
WSL 2 환경이라면 Google Chrome 브라우저를 설치해 실행하는 것도 가능한데요,
How to Install Firefox and Google Chrome in WSL2 on Windows 10
; https://www.freshtechtips.com/2022/12/install-firefox-google-chrome-in-wsl.html
$ sudo apt update && sudo apt upgrade -y
$ sudo wget https://dl.google.com/linux/direct/google-chrome-stable_current_amd64.deb
$ sudo dpkg -i google-chrome-stable_current_amd64.deb
$ sudo apt install --fix-broken -y
$ sudo dpkg -i google-chrome-stable_current_amd64.deb
$ google-chrome
그렇게 실행한 브라우저에서 "https://test.testhvpc.com:7252" 주소를 방문하면 "
NET::ERR_CERT_AUTHORITY_INVALID" 오류가 발생합니다.
Your connection is not private
Attackers might be trying to steal your information from test.testhvpc.com (for example, passwords, messages, or credit cards). Learn more
NET::ERR_CERT_AUTHORITY_INVALID
This server could not prove that it is test.testhvpc.com; its security certificate is not trusted by your computer's operating system. This may be caused by a misconfiguration or an attacker intercepting your connection.
Proceed to test.testhvpc.com (unsafe)
왜냐하면, 크롬의 경우에는 인증서 저장소를 별도 관리하기 때문인데,
SSL certificate in system store not trusted by Chrome
; https://serverfault.com/questions/946756/ssl-certificate-in-system-store-not-trusted-by-chrome
따라서 "settings -> privacy and security -> security -> manage certificates" 설정에 들어가 "Authorities" 탭에서 CA 인증서를 "Trust this certificate for identifying websites" 옵션으로 추가하면 됩니다.
만약 "Authorities"가 아닌 다른 탭, 예를 들어 "Your certificates" 탭에서 추가하려고 시도하면 이런 오류가 발생합니다.
Certificate Import Error
The Private Key for this Client Certificate is missing or invalid
[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]