IT 위키 - 사용자 기여 [ko]

PEM

2022-08-16T08:29:27Z

보안공부메모:

'''Privacy Enhanced Mail'''

IETF에서 채택한 기밀성, 인증, 무결성, 부인방지를 지원하는 이메일 보안 기술

* 기존 전자우편 프로토콜을 이용하여 보안을 위한 정보를 추가해서 보낸다.
* 구현의 어려움으로 많이 사용되지 않으며 군사용 시스템 등에서 드물게 사용된다.

== [[PEM 파일]] ==
PEM은 구현의 어려움 등으로 본래 목적이었던 이메일 보안 용도론 사용이 거의 되지 않는다.

다만, PEM 인코딩 포맷 자체는 인증서 등 바이너리 파일 인코딩용 등으로 널리 사용된다.

.pem 으로 되어 있는 파일들이 대부분 이 인코딩 포맷을 사용한 것이다. 자세한 내용은 [[PEM 파일]] 참고

== 같이 보기 ==

* [[이메일 보안 프로토콜]]
* [[PGP]]
* [[S/MIME]]

PEM

2022-08-16T08:28:34Z

보안공부메모:

'''Privacy Enhanced Mail'''

IETF에서 채택한 기밀성, 인증, 무결성, 부인방지를 지원하는 이메일 보안 기술

* 기존 전자우편 프로토콜을 이용하여 보안을 위한 정보를 추가해서 보낸다.
* 구현의 어려움으로 많이 사용되지 않으며 군사용 시스템 등에서 드물게 사용된다.

== [[PEM 파일]] ==
PEM은 구현의 어려움 등으로 본래 목적이었던 이메일 보안 용도론 사용이 거의 되지 않는다.

다만, PEM 형식 자체는 인증서 등 바이너리 파일 인코딩용 등으로 널리 사용된다. [[PEM 파일]] 참고

== 같이 보기 ==

* [[이메일 보안 프로토콜]]
* [[PGP]]
* [[S/MIME]]

인증서 포맷

2022-08-16T07:24:03Z

보안공부메모:

== 인코딩 포맷 ==

=== PEM 포맷 ===
PEM (Privacy Enhanced Mail)은 Base64 로 인코딩한 텍스트 형식의 파일이다. 메모장으로 열어볼 수 있다. 원래는 이메일 보안에 사용되는 인코딩 포맷이었는데 이메일에서는 잘 쓰이지 않고 인증서 또는 키 값을 저장하는데 많이 사용된다. 모든 Binary 파일이 대상이 될 수 있다.

어떤 바이너리 파일을 PEM 으로 변환했는지 구분하기 위해 파일의 맨 앞에 dash(-) 를 5 개 넣고 BEGIN 파일 유형을 넣고 다시 dash(-) 를 5개 뒤에 END 파일 유형 구문을 사용한다.

'''예시1 - 인증서 인코딩'''<pre>
-----BEGIN CERTIFICATE-----
MIIBtjCCAVugAwIBAgITBmyf1XSXNmY/Owua2eiedgPySjAKBggqhkjOPQQDAjA5MQswCQYDVQQG
EwJVUzEPMA0GA1UEChMGQW1hem9uMRkwFwYDVQQDExBBbWF6b24gUm9vdCBDQSAzMB4XDTE1MDUy
NjAwMDAwMFoXDTQwMDUyNjAwMDAwMFowOTELMAkGA1UEBhMCVVMxDzANBgNVBAoTBkFtYXpvbjEZ
MBcGA1UEAxMQQW1hem9uIFJvb3QgQ0EgMzBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABCmXp8ZB
f8ANm+gBG1bG8lKlui2yEujSLtf6ycXYqm0fc4E7O5hrOXwzpcVOho6AF2hiRVd9RFgdszflZwjr
Zt6jQjBAMA8GA1UdEwEB/wQFMAMBAf8wDgYDVR0PAQH/BAQDAgGGMB0GA1UdDgQWBBSrttvXBp43
rDCGB5Fwx5zEGbF4wDAKBggqhkjOPQQDAgNJADBGAiEA4IWSoxe3jfkrBqWTrBqYaGFy+uGh0Psc
eGCmQ5nFuMQCIQCcAu/xlJyzlvnrxir4tiz+OpAUFteMYyRIHN8wfdVoOw==
-----END CERTIFICATE-----
</pre>'''예시2 - [[OpenSSH]] 개인 키 인코딩'''<pre>
-----BEGIN OPENSSH PRIVATE KEY-----
b3BlbnNzaC1rZXktdjEAAAAACmFlczI1Ni1jdHIAAAAGYmNyeXB0AAAAGAAAABC/fXuBoa
WboQk95dZ4Udj3AAAAEAAAAAEAAAGXAAAAB3NzaC1yc2EAAAADAQABAAABgQC+dEvO8yL7
XgY1NlP/vro77yxiqq/hKe4QHMplS/LnMbaKtZP1ijyMSuTGoIA+Aw9CUDpWKXwekrBXpm
GvbDlmHQieRJPhh/3dW1xPKgRPAMiiA/9awSM0sFcjyH8NQcfweu93QMBZAg/WrsQz1l7j
.....
-----END OPENSSH PRIVATE KEY-----
</pre>'''예시3 - 암호화된 개인 키 인코딩'''

개인키는 BEGIN RSA PRIVATE KEY 로 시작하며 암호화되었을 경우 Proc-Type: 과 DEK-Info 헤더에 암호화 알고리즘 정보를 표시한다.<pre>
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,754D916B5B2D2AF9ACDEED19908F0336

oB2JARMSnliQOgu4V96xwuqqo9rP/XXJbYFT6XEriBpVX/qOwSpAkLXAL71SB0VS
iEDdxK96zctIgo0q3zpowO2cx6uAxk4BIDWxvpM4A8xCFJgskpXeXpI5pnpgDiLO
...
-----END RSA PRIVATE KEY-----
</pre>'''확장자'''

PEM 포맷은 일반적으로 .pem 이라는 확장자를 사용하지만, 흔히 쓰이는 포맷이라.crt, .cer 등 다른 확장자임에도 PEM 포맷을 사용하는 경우가 많다. (아래 내용 참고)

=== DER 포맷 ===
'''Distinguished Encoding Rules'''

DER 포맷의 파일은 PEM과 같은 텍스트 형식의 파일이 아닌, 바이너리 형태로 인코딩한 포맷이다. 확장자 또한 .der을 사용한다.

메모장으론 열어볼 수 없고 DER을 인식할 수 있는 프로그램이 있어야 한다. (ASN.1 파서 등)

=== CSR 포맷 ===
'''Certificate Signing Request'''

CSR 포맷은 인증기관(CA)에 인증서 발급 요청을 하는 특별한 ASN.1 형식의 파일이며 그 안에는 내 공개키 정보와 사용하는 알고리즘 정보등이 들어 있다.

CSR 생성 시 보통 PEM 포맷으로 인코딩해서 전달하며 다음과 같은 PEM 헤더가 붙어 있다.

위의 다른 포맷이나 확장자들과 달리 '''인증서 파일이 아니다.''' 인증서 요청용 파일이다.<pre>
-----BEGIN NEW CERTIFICATE REQUEST-----
MIIDZjCCAs8CAQAwajELMAkGA1UEBhMCS1IxETAPBgNVBAgMCHdvb3dhaGFuMREw
DwYDVQQHDAh3b293YWhhbjERMA8GA1UECgwId29vd2FoYW4xETAPBgNVBAsMCHdv
b3dhaGFuMQ8wDQYDVQQDDAZhZGJldGEwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
...
-----END NEW CERTIFICATE REQUEST-----
</pre>

== 단순 확장자 ==

=== CRT 확장자 ===
'''Certificate의 약자'''

인증서를 의미하는 CERT 의 약자로 보통 PEM 형식의 인증서를 의미한다.

즉 확장자는 .crt이지만 열어보면 PEM 파일과 동일하다. Linux 나 Unix 계열에서 .crt 확장자를 많이 사용한다.

=== CER 확장자 ===
'''Certificate의 약자'''

Windows 에서 인증서를 내보내기 할 때 사용하는 확장자로, 이 또한 대부분 PEM 포맷을 사용한다.

유닉스, 리눅스 계열에서는 Cert를 CRT로 줄이고, 윈도우에선 Cert를 CER로 줄였을 뿐, 일반적으론 차이가 없다. (PEM 포맷)

== 참고 문헌 ==

* [https://www.lesstif.com/software-architect/pem-cer-der-crt-csr-113345004.html PEM 과 CER/DER/CRT/CSR 형식 파일이란?]

인증서 포맷

2022-08-16T07:23:50Z

보안공부메모:

== 인코딩 포맷 ==

=== PEM 포맷 ===
PEM (Privacy Enhanced Mail)은 Base64 로 인코딩한 텍스트 형식의 파일이다. 메모장으로 열어볼 수 있다. 원래는 이메일 보안에 사용되는 인코딩 포맷이었는데 이메일에서는 잘 쓰이지 않고 인증서 또는 키 값을 저장하는데 많이 사용된다. 모든 Binary 파일이 대상이 될 수 있다.

어떤 바이너리 파일을 PEM 으로 변환했는지 구분하기 위해 파일의 맨 앞에 dash(-) 를 5 개 넣고 BEGIN 파일 유형을 넣고 다시 dash(-) 를 5개 뒤에 END 파일 유형 구문을 사용한다.

'''예시1 - 인증서 인코딩'''<pre>
-----BEGIN CERTIFICATE-----
MIIBtjCCAVugAwIBAgITBmyf1XSXNmY/Owua2eiedgPySjAKBggqhkjOPQQDAjA5MQswCQYDVQQG
EwJVUzEPMA0GA1UEChMGQW1hem9uMRkwFwYDVQQDExBBbWF6b24gUm9vdCBDQSAzMB4XDTE1MDUy
NjAwMDAwMFoXDTQwMDUyNjAwMDAwMFowOTELMAkGA1UEBhMCVVMxDzANBgNVBAoTBkFtYXpvbjEZ
MBcGA1UEAxMQQW1hem9uIFJvb3QgQ0EgMzBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABCmXp8ZB
f8ANm+gBG1bG8lKlui2yEujSLtf6ycXYqm0fc4E7O5hrOXwzpcVOho6AF2hiRVd9RFgdszflZwjr
Zt6jQjBAMA8GA1UdEwEB/wQFMAMBAf8wDgYDVR0PAQH/BAQDAgGGMB0GA1UdDgQWBBSrttvXBp43
rDCGB5Fwx5zEGbF4wDAKBggqhkjOPQQDAgNJADBGAiEA4IWSoxe3jfkrBqWTrBqYaGFy+uGh0Psc
eGCmQ5nFuMQCIQCcAu/xlJyzlvnrxir4tiz+OpAUFteMYyRIHN8wfdVoOw==
-----END CERTIFICATE-----
</pre>'''예시2 - [[OpenSSH]] 개인 키 인코딩'''<pre>
-----BEGIN OPENSSH PRIVATE KEY-----
b3BlbnNzaC1rZXktdjEAAAAACmFlczI1Ni1jdHIAAAAGYmNyeXB0AAAAGAAAABC/fXuBoa
WboQk95dZ4Udj3AAAAEAAAAAEAAAGXAAAAB3NzaC1yc2EAAAADAQABAAABgQC+dEvO8yL7
XgY1NlP/vro77yxiqq/hKe4QHMplS/LnMbaKtZP1ijyMSuTGoIA+Aw9CUDpWKXwekrBXpm
GvbDlmHQieRJPhh/3dW1xPKgRPAMiiA/9awSM0sFcjyH8NQcfweu93QMBZAg/WrsQz1l7j
.....
-----END OPENSSH PRIVATE KEY-----
</pre>'''예시3 - 암호화된 개인 키 인코딩'''

개인키는 BEGIN RSA PRIVATE KEY 로 시작하며 암호화되었을 경우 Proc-Type: 과 DEK-Info 헤더에 암호화 알고리즘 정보를 표시한다.<pre>
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,754D916B5B2D2AF9ACDEED19908F0336

oB2JARMSnliQOgu4V96xwuqqo9rP/XXJbYFT6XEriBpVX/qOwSpAkLXAL71SB0VS
iEDdxK96zctIgo0q3zpowO2cx6uAxk4BIDWxvpM4A8xCFJgskpXeXpI5pnpgDiLO
...
-----END RSA PRIVATE KEY-----
</pre>'''확장자'''

PEM 포맷은 일반적으로 .pem 이라는 확장자를 사용하지만, 흔히 쓰이는 포맷이라.crt, .cer 등 다른 확장자임에도 PEM 포맷을 사용하는 경우가 많다. (아래 내용 참고)

=== DER 포맷 ===
'''Distinguished Encoding Rules'''

DER 포맷의 파일은 PEM과 같은 텍스트 형식의 파일이 아닌, 바이너리 형태로 인코딩한 포맷이다. 확장자 또한 .der을 사용한다.

메모장으론 열어볼 수 없고 DER을 인식할 수 있는 프로그램이 있어야 한다. (ASN.1 파서 등)

=== CSR 포맷 ===
'''Certificate Signing Request'''

CSR 포맷은 인증기관(CA)에 인증서 발급 요청을 하는 특별한 ASN.1 형식의 파일이며 그 안에는 내 공개키 정보와 사용하는 알고리즘 정보등이 들어 있다.

CSR 생성 시 보통 PEM 포맷으로 인코딩해서 전달하며 다음과 같은 PEM 헤더가 붙어 있다.

위의 다른 포맷이나 확장자들과 달리 '''인증서 파일이 아니다.''' 인증서 요청용 파일이다.<pre>
-----BEGIN NEW CERTIFICATE REQUEST-----
MIIDZjCCAs8CAQAwajELMAkGA1UEBhMCS1IxETAPBgNVBAgMCHdvb3dhaGFuMREw
DwYDVQQHDAh3b293YWhhbjERMA8GA1UECgwId29vd2FoYW4xETAPBgNVBAsMCHdv
b3dhaGFuMQ8wDQYDVQQDDAZhZGJldGEwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
...
-----END NEW CERTIFICATE REQUEST-----
</pre>

== 단순 확장자 ==

=== CRT 확장자 ===
'''Cert의 약자'''

인증서를 의미하는 CERT 의 약자로 보통 PEM 형식의 인증서를 의미한다.

즉 확장자는 .crt이지만 열어보면 PEM 파일과 동일하다. Linux 나 Unix 계열에서 .crt 확장자를 많이 사용한다.

=== CER 확장자 ===
'''Cert의 약자'''

Windows 에서 인증서를 내보내기 할 때 사용하는 확장자로, 이 또한 대부분 PEM 포맷을 사용한다.

유닉스, 리눅스 계열에서는 Cert를 CRT로 줄이고, 윈도우에선 Cert를 CER로 줄였을 뿐, 일반적으론 차이가 없다. (PEM 포맷)

== 참고 문헌 ==

* [https://www.lesstif.com/software-architect/pem-cer-der-crt-csr-113345004.html PEM 과 CER/DER/CRT/CSR 형식 파일이란?]

인증서 포맷

2022-08-16T07:22:49Z

보안공부메모: 새 문서: == PEM 포맷 & 확장자 == PEM (Privacy Enhanced Mail)은 Base64 로 인코딩한 텍스트 형식의 파일이다. 메모장으로 열어볼 수 있다. 원래는 이메일 보안에 사용되는 인코딩 포맷이었는데 이메일에서는 잘 쓰이지 않고 인증서 또는 키 값을 저장하는데 많이 사용된다. 모든 Binary 파일이 대상이 될 수 있다. 어떤 바이너리 파일을 PEM 으로 변환했는지 구분하기 위해 파일의 맨 앞에 d...

== PEM 포맷 & 확장자 ==
PEM (Privacy Enhanced Mail)은 Base64 로 인코딩한 텍스트 형식의 파일이다. 메모장으로 열어볼 수 있다. 원래는 이메일 보안에 사용되는 인코딩 포맷이었는데 이메일에서는 잘 쓰이지 않고 인증서 또는 키 값을 저장하는데 많이 사용된다. 모든 Binary 파일이 대상이 될 수 있다.

어떤 바이너리 파일을 PEM 으로 변환했는지 구분하기 위해 파일의 맨 앞에 dash(-) 를 5 개 넣고 BEGIN 파일 유형을 넣고 다시 dash(-) 를 5개 뒤에 END 파일 유형 구문을 사용한다.

'''예시1 - 인증서 인코딩'''<pre>
-----BEGIN CERTIFICATE-----
MIIBtjCCAVugAwIBAgITBmyf1XSXNmY/Owua2eiedgPySjAKBggqhkjOPQQDAjA5MQswCQYDVQQG
EwJVUzEPMA0GA1UEChMGQW1hem9uMRkwFwYDVQQDExBBbWF6b24gUm9vdCBDQSAzMB4XDTE1MDUy
NjAwMDAwMFoXDTQwMDUyNjAwMDAwMFowOTELMAkGA1UEBhMCVVMxDzANBgNVBAoTBkFtYXpvbjEZ
MBcGA1UEAxMQQW1hem9uIFJvb3QgQ0EgMzBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABCmXp8ZB
f8ANm+gBG1bG8lKlui2yEujSLtf6ycXYqm0fc4E7O5hrOXwzpcVOho6AF2hiRVd9RFgdszflZwjr
Zt6jQjBAMA8GA1UdEwEB/wQFMAMBAf8wDgYDVR0PAQH/BAQDAgGGMB0GA1UdDgQWBBSrttvXBp43
rDCGB5Fwx5zEGbF4wDAKBggqhkjOPQQDAgNJADBGAiEA4IWSoxe3jfkrBqWTrBqYaGFy+uGh0Psc
eGCmQ5nFuMQCIQCcAu/xlJyzlvnrxir4tiz+OpAUFteMYyRIHN8wfdVoOw==
-----END CERTIFICATE-----
</pre>'''예시2 - [[OpenSSH]] 개인 키 인코딩'''<pre>
-----BEGIN OPENSSH PRIVATE KEY-----
b3BlbnNzaC1rZXktdjEAAAAACmFlczI1Ni1jdHIAAAAGYmNyeXB0AAAAGAAAABC/fXuBoa
WboQk95dZ4Udj3AAAAEAAAAAEAAAGXAAAAB3NzaC1yc2EAAAADAQABAAABgQC+dEvO8yL7
XgY1NlP/vro77yxiqq/hKe4QHMplS/LnMbaKtZP1ijyMSuTGoIA+Aw9CUDpWKXwekrBXpm
GvbDlmHQieRJPhh/3dW1xPKgRPAMiiA/9awSM0sFcjyH8NQcfweu93QMBZAg/WrsQz1l7j
.....
-----END OPENSSH PRIVATE KEY-----
</pre>'''예시3 - 암호화된 개인 키 인코딩'''

개인키는 BEGIN RSA PRIVATE KEY 로 시작하며 암호화되었을 경우 Proc-Type: 과 DEK-Info 헤더에 암호화 알고리즘 정보를 표시한다.<pre>
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,754D916B5B2D2AF9ACDEED19908F0336

oB2JARMSnliQOgu4V96xwuqqo9rP/XXJbYFT6XEriBpVX/qOwSpAkLXAL71SB0VS
iEDdxK96zctIgo0q3zpowO2cx6uAxk4BIDWxvpM4A8xCFJgskpXeXpI5pnpgDiLO
...
-----END RSA PRIVATE KEY-----
</pre>'''확장자'''

PEM 포맷은 일반적으로 .pem 이라는 확장자를 사용하지만, 흔히 쓰이는 포맷이라.crt, .cer 등 다른 확장자임에도 PEM 포맷을 사용하는 경우가 많다. (아래 내용 참고)

== CRT 확장자 ==
'''Cert의 약자'''

인증서를 의미하는 CERT 의 약자로 보통 PEM 형식의 인증서를 의미한다.

즉 확장자는 .crt이지만 열어보면 PEM 파일과 동일하다. Linux 나 Unix 계열에서 .crt 확장자를 많이 사용한다.

== CER 확장자 ==
'''Cert의 약자'''

Windows 에서 인증서를 내보내기 할 때 사용하는 확장자로, 이 또한 대부분 PEM 포맷을 사용한다.

유닉스, 리눅스 계열에서는 Cert를 CRT로 줄이고, 윈도우에선 Cert를 CER로 줄였을 뿐, 일반적으론 차이가 없다. (PEM 포맷)

== DER 포맷 ==
'''Distinguished Encoding Rules'''

DER 포맷의 파일은 PEM과 같은 텍스트 형식의 파일이 아닌, 바이너리 형태로 인코딩한 포맷이다. 확장자 또한 .der을 사용한다.

메모장으론 열어볼 수 없고 DER을 인식할 수 있는 프로그램이 있어야 한다. (ASN.1 파서 등)

== CSR 포맷 ==
'''Certificate Signing Request'''

CSR 포맷은 인증기관(CA)에 인증서 발급 요청을 하는 특별한 ASN.1 형식의 파일이며 그 안에는 내 공개키 정보와 사용하는 알고리즘 정보등이 들어 있다.

CSR 생성 시 보통 PEM 포맷으로 인코딩해서 전달하며 다음과 같은 PEM 헤더가 붙어 있다.

위의 다른 포맷이나 확장자들과 달리 '''인증서 파일이 아니다.''' 인증서 요청용 파일이다.<pre>
-----BEGIN NEW CERTIFICATE REQUEST-----
MIIDZjCCAs8CAQAwajELMAkGA1UEBhMCS1IxETAPBgNVBAgMCHdvb3dhaGFuMREw
DwYDVQQHDAh3b293YWhhbjERMA8GA1UECgwId29vd2FoYW4xETAPBgNVBAsMCHdv
b3dhaGFuMQ8wDQYDVQQDDAZhZGJldGEwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
...
-----END NEW CERTIFICATE REQUEST-----
</pre>

== 참고 문헌 ==

* [https://www.lesstif.com/software-architect/pem-cer-der-crt-csr-113345004.html PEM 과 CER/DER/CRT/CSR 형식 파일이란?]

X.509

2022-08-16T06:29:06Z

보안공부메모:

[[분류:보안]]
;인증서 표기 공식 표준
* [[ITU-T]] (X.509) 및 [[ISO]] (ISO/IEC 9594-8) 공동 [[표준]]

[[파일:X.509.png]]

== X.509 인증서 ==
{| class="wikitable"
! 구분
! 설명
|-
| 버전
| X.509 인증서 형식의 버전으로, 현재 v1-v3까지 있음
|-
| 일련번호
| CA에서 인증서를 발행할 때 마다 할당되는 유일한 번호
|-
| 알고리즘 식별자
| CA가 사용한 서명 알고리즘의 식별자
|-
| 발행자
| 인증서를 발행한 CA의 이름
|-
| 유효 개시 시간
| 인증서가 유효한 최초 시간
|-
| 유효 만기 시간
| 인증서가 유효한 마지막 시간
|-
| 주체
| DN(Distinguished Name). 사람뿐만 아니라 서버도 해당
|-
| 주체 공개키
| 암호용 또는 서명용 공개키, 키가 사용될 알고리즘의 종류, 키 길이 등 정보로 구성
|-
| 알고리즘
| 공개키 알고리즘의 OID
|-
| 공개키
| 주체의 공개키 값
|-
| 서명값
| CA의 서명 값
|}
== X.509 버전별 추가사항 ==
* '''버전 2에서 추가된 영역'''
** 인증 기관 고유 식별자 : 한 주체에 대해 둘 이상의 인증기관으로부터 인증서가 발급된 경우, 인증기관 구분
** 주체 고유 식별자 : 주체를 식별하는 값, 예를 들어 같은 회사에 동명이인이 있는 경우 구분하기 위해 사용
* '''버전 3에서 추가된 영역'''
** 확장 키 사용 : Key usage 항목으로 표시할 수 없는 세부적인 추가용도를 OID 형태로 표시. TLS 웹 서버 인증용, TLS 웹 클라이언트 인증용, 코드 서명용, 전자 우편용, IPSec 용 등을 지시
** 인증기관 키 식별자 : 하나의 인증기관이 여러 개의 비밀키로 인증서를 발급한 경우, 서명 검증용 공개키를 식별하기 위해 사용. SHA-1해시 값인 KeyIdentifier, 발행기관 이름, 일련 번호로 구성
** 주체 키 식별자 : 한 주체가 여러 키 쌍에 대해 발급받은 인증서를 가지고 있을 때, 인증서에 포함된 공개키를 구별하는데 사용
** 키 용도 : 해당 공개키가 암호용인지 서명용인지를 해당 비트로 표시
** 비밀키 사용기간 : 인증서의 유효기간과 서명용 비밀키의 사용시간이 다를 때 사용
** CRL 배포 지점 : 폐기한 인증서의 리스트가 저장되어있는 곳의 URL
** 주체 대체 이름 : DNS 이름, IP 주소, 메일 주소, 커버로스 이름 등 주체 이름에 대한 또 다른 이름
** 발행자 대체 이름 : CA의 또 다른 이름
** 기본 제한 : {CA 플래그, pathLenConstraint로 구성}
** 기관 정보 액세스 : 인증기관이 제공하는 인증서 관련 서비스에 접근할 수 있는 URL이나 프로토콜 관련 정보
** 주체 정보 액세스 : 인증서 주체가 제공할 수 있는 정보와 서비스에 접근하는 방법 제공, 주로 CA의 루트 인증서에 사용

== 키 종류 및 용도 ==
* digitalSignature : keyCertSign, cRLSign을 제외한 서명용도의 공개키
* nonRepudiation : 부인방지를 위한 서명용 공개키
* keyEncipherment : 공유 비밀키를 암호화할 때 사용하는 공개키
* dataEncipherment : 데이터 암호용 공개키
* keyAgreement : 키 분배 프로토콜에 사용할 공개키
* keyCertSign : 루트 인증서의 서명용 공개키
* CRLSign : CRL 서명용 공개키
* encipheronly : keyAgreement 비트가 1일 때, 암호 전용 공개키 임을 지시
* dncipheronly : keyAgreement 비트가 1일 때, 복호 전용 공개키 임을 지시

== 인증서 내용 예시 ==

=== PEM 형태 ===
인증서는 일반적으로 [[PEM 포맷]]으로 전달된다. 자세한 내용은 '''[[인증서 포맷]]''' 참고<pre>
-----BEGIN CERTIFICATE-----
MIIBtjCCAVugAwIBAgITBmyf1XSXNmY/Owua2eiedgPySjAKBggqhkjOPQQDAjA5MQswCQYDVQQG
EwJVUzEPMA0GA1UEChMGQW1hem9uMRkwFwYDVQQDExBBbWF6b24gUm9vdCBDQSAzMB4XDTE1MDUy
NjAwMDAwMFoXDTQwMDUyNjAwMDAwMFowOTELMAkGA1UEBhMCVVMxDzANBgNVBAoTBkFtYXpvbjEZ
MBcGA1UEAxMQQW1hem9uIFJvb3QgQ0EgMzBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABCmXp8ZB
f8ANm+gBG1bG8lKlui2yEujSLtf6ycXYqm0fc4E7O5hrOXwzpcVOho6AF2hiRVd9RFgdszflZwjr
Zt6jQjBAMA8GA1UdEwEB/wQFMAMBAf8wDgYDVR0PAQH/BAQDAgGGMB0GA1UdDgQWBBSrttvXBp43
rDCGB5Fwx5zEGbF4wDAKBggqhkjOPQQDAgNJADBGAiEA4IWSoxe3jfkrBqWTrBqYaGFy+uGh0Psc
eGCmQ5nFuMQCIQCcAu/xlJyzlvnrxir4tiz+OpAUFteMYyRIHN8wfdVoOw==
-----END CERTIFICATE-----
</pre>[[Base64 인코딩|Base64]]로 인코딩된 바이너리이며, 디코딩 및 파싱을 하면 아래와 같이 나온다. 디코더([https://www.sslcert.co.kr/tools/certificate-crt-decoder 예시])는 온라인에서 쉽게 찾을 수 있다.

=== 파싱 결과 ===
참고로 이 인증서는 AWS에서 발행한 [[루트 인증서]]이며, 일반적인 서버 인증서는 이것보다 내용이 많다. (확장 필드들을 더 많이 쓴다.)

[[파일:AWS Root CA 인증서 내용.png|800x800픽셀]]

X.509

2022-08-16T06:28:16Z

보안공부메모:

[[분류:보안]]
;인증서 표기 공식 표준
* [[ITU-T]] (X.509) 및 [[ISO]] (ISO/IEC 9594-8) 공동 [[표준]]

[[파일:X.509.png]]

== X.509 인증서 ==
{| class="wikitable"
! 구분
! 설명
|-
| 버전
| X.509 인증서 형식의 버전으로, 현재 v1-v3까지 있음
|-
| 일련번호
| CA에서 인증서를 발행할 때 마다 할당되는 유일한 번호
|-
| 알고리즘 식별자
| CA가 사용한 서명 알고리즘의 식별자
|-
| 발행자
| 인증서를 발행한 CA의 이름
|-
| 유효 개시 시간
| 인증서가 유효한 최초 시간
|-
| 유효 만기 시간
| 인증서가 유효한 마지막 시간
|-
| 주체
| DN(Distinguished Name). 사람뿐만 아니라 서버도 해당
|-
| 주체 공개키
| 암호용 또는 서명용 공개키, 키가 사용될 알고리즘의 종류, 키 길이 등 정보로 구성
|-
| 알고리즘
| 공개키 알고리즘의 OID
|-
| 공개키
| 주체의 공개키 값
|-
| 서명값
| CA의 서명 값
|}
== X.509 버전별 추가사항 ==
* '''버전 2에서 추가된 영역'''
** 인증 기관 고유 식별자 : 한 주체에 대해 둘 이상의 인증기관으로부터 인증서가 발급된 경우, 인증기관 구분
** 주체 고유 식별자 : 주체를 식별하는 값, 예를 들어 같은 회사에 동명이인이 있는 경우 구분하기 위해 사용
* '''버전 3에서 추가된 영역'''
** 확장 키 사용 : Key usage 항목으로 표시할 수 없는 세부적인 추가용도를 OID 형태로 표시. TLS 웹 서버 인증용, TLS 웹 클라이언트 인증용, 코드 서명용, 전자 우편용, IPSec 용 등을 지시
** 인증기관 키 식별자 : 하나의 인증기관이 여러 개의 비밀키로 인증서를 발급한 경우, 서명 검증용 공개키를 식별하기 위해 사용. SHA-1해시 값인 KeyIdentifier, 발행기관 이름, 일련 번호로 구성
** 주체 키 식별자 : 한 주체가 여러 키 쌍에 대해 발급받은 인증서를 가지고 있을 때, 인증서에 포함된 공개키를 구별하는데 사용
** 키 용도 : 해당 공개키가 암호용인지 서명용인지를 해당 비트로 표시
** 비밀키 사용기간 : 인증서의 유효기간과 서명용 비밀키의 사용시간이 다를 때 사용
** CRL 배포 지점 : 폐기한 인증서의 리스트가 저장되어있는 곳의 URL
** 주체 대체 이름 : DNS 이름, IP 주소, 메일 주소, 커버로스 이름 등 주체 이름에 대한 또 다른 이름
** 발행자 대체 이름 : CA의 또 다른 이름
** 기본 제한 : {CA 플래그, pathLenConstraint로 구성}
** 기관 정보 액세스 : 인증기관이 제공하는 인증서 관련 서비스에 접근할 수 있는 URL이나 프로토콜 관련 정보
** 주체 정보 액세스 : 인증서 주체가 제공할 수 있는 정보와 서비스에 접근하는 방법 제공, 주로 CA의 루트 인증서에 사용

== 키 종류 및 용도 ==
* digitalSignature : keyCertSign, cRLSign을 제외한 서명용도의 공개키
* nonRepudiation : 부인방지를 위한 서명용 공개키
* keyEncipherment : 공유 비밀키를 암호화할 때 사용하는 공개키
* dataEncipherment : 데이터 암호용 공개키
* keyAgreement : 키 분배 프로토콜에 사용할 공개키
* keyCertSign : 루트 인증서의 서명용 공개키
* CRLSign : CRL 서명용 공개키
* encipheronly : keyAgreement 비트가 1일 때, 암호 전용 공개키 임을 지시
* dncipheronly : keyAgreement 비트가 1일 때, 복호 전용 공개키 임을 지시

== 인증서 내용 예시 ==

=== PEM 형태 ===
인증서는 일반적으로 [[PEM 포맷]]으로 전달된다. 자세한 내용은 '''[[TLS 인증서 포맷]]''' 참고<pre>
-----BEGIN CERTIFICATE-----
MIIBtjCCAVugAwIBAgITBmyf1XSXNmY/Owua2eiedgPySjAKBggqhkjOPQQDAjA5MQswCQYDVQQG
EwJVUzEPMA0GA1UEChMGQW1hem9uMRkwFwYDVQQDExBBbWF6b24gUm9vdCBDQSAzMB4XDTE1MDUy
NjAwMDAwMFoXDTQwMDUyNjAwMDAwMFowOTELMAkGA1UEBhMCVVMxDzANBgNVBAoTBkFtYXpvbjEZ
MBcGA1UEAxMQQW1hem9uIFJvb3QgQ0EgMzBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABCmXp8ZB
f8ANm+gBG1bG8lKlui2yEujSLtf6ycXYqm0fc4E7O5hrOXwzpcVOho6AF2hiRVd9RFgdszflZwjr
Zt6jQjBAMA8GA1UdEwEB/wQFMAMBAf8wDgYDVR0PAQH/BAQDAgGGMB0GA1UdDgQWBBSrttvXBp43
rDCGB5Fwx5zEGbF4wDAKBggqhkjOPQQDAgNJADBGAiEA4IWSoxe3jfkrBqWTrBqYaGFy+uGh0Psc
eGCmQ5nFuMQCIQCcAu/xlJyzlvnrxir4tiz+OpAUFteMYyRIHN8wfdVoOw==
-----END CERTIFICATE-----
</pre>[[Base64 인코딩|Base64]]로 인코딩된 바이너리이며, 디코딩 및 파싱을 하면 아래와 같이 나온다. 디코더([https://www.sslcert.co.kr/tools/certificate-crt-decoder 예시])는 온라인에서 쉽게 찾을 수 있다.

=== 파싱 결과 ===
참고로 이 인증서는 AWS에서 발행한 [[루트 인증서]]이며, 일반적인 서버 인증서는 이것보다 내용이 많다. (확장 필드들을 더 많이 쓴다.)

[[파일:AWS Root CA 인증서 내용.png|800x800픽셀]]

파일:AWS Root CA 인증서 내용.png

2022-08-16T06:23:45Z

보안공부메모:

인증서 파싱

루트 인증서

2022-08-16T04:50:12Z

보안공부메모:

[[분류:보안]][[분류:암호학]]
;Root certificate
'''루트 인증서는 [[공개키 기반 구조]]에서 최상위 인증 기관인 [[루트 인증기관]]에서 발급하는 인증서를 말한다.'''
* TLS(SSL), 공인인증서 등에 사용
* 루트 인증서를 가진 신뢰된 하위 인증 기관도 인증서 발급 가능

== TLS 루트 인증서 ==
TLS 루트 인증서는 [[TLS 인증 기관|TLS 인증 기관(COMODO, Go Daddy 등)]]에서 직접 발급한 인증서이다. 다른 인증서와 달리 루트 인증서는 인증 기관(이하 CA)에서 자체 서명한다. 루트 인증서의 [[개인 키]]는 [[TLS 인증서|TLS(SSL) 인증서]] 계층 구조의 다른 인증서에 서명하는 데 사용되는 키이다.

CA는 몇 가지 루트 인증서만 발급하므로 엄격하게 보호된다. 이러한 루트 인증서는 일반적으로 브라우저 및 운영 체제에 미리 설치된다. 일반적으로 사용되는 목록은 공개되어 있으며<ref>모질라에서 공개하는 [https://curl.se/docs/caextract.html '''CA Bundle''']. 보통 cacert.pem 이라는 파일 명으로 공유된다.</ref>, 이 외에 다른 루트 인증서를 사용하고자 하는 경우엔 브라우저나 운영 체제에 등록하는 기능이 제공되므로 이를 이용하면 된다.<ref>구글 크롬 브라우저에 루트 인증서 등록 방법 https://support.google.com/chrome/a/answer/6342302?hl=ko</ref> 루트 인증서는 모든 당사자가 루트 인증서를 발급한 CA를 신뢰하는 데 동의하기 때문에 인증서 체인에서 가장 중요한 것으로 간주된다. 루트 인증서를 발급한 CA가 신뢰할 수 없거나 취소된 경우 전체 체인이 붕괴된다.

루트 인증서를 보호하기 위해 루트 CA는 일반적으로 중간 CA를 둔다. 그리고 웹사이트의 리프(서버) 인증서를 루트 인증서에서 직접 발급하지 않고 중간 CA를 통해 발급한다. 루트 인증서를 직접 이용하는 것은 너무 위험하기 때문이다.

아래 이미지는 이 사이트(IT위키)의 [[인증서 체인]]이다. 이 이미지상에서 ISRG Root X1이 루트 인증서이고, R3가 중간 인증기관의 인증서이다. 자세한 내용은 '''[[인증서 체인]]''' 참고.
[[파일:It위키 인증서.png|없음|섬네일|IT위키 인증서 인증 경로]]

== 같이 보기 ==
* [[공개키 기반 구조]]
* [[루트 인증 기관]]
* [[X.509]]
* [[공인인증서]]
* [[SSL]]

== 각주 ==

파일:It위키 인증서.png

2022-08-16T04:42:41Z

보안공부메모:

직접 캡처함