test

Sun Java System Messaging Server 6 2005Q4 관리 설명서

개인 및 공개 키 확인

Communications Express Mail은 개인 키 또는 공개 키를 사용하기 전에 그림 20–2에 표시된 확인 테스트를 통과해야 합니다. 이 절의 나머지 부분에서는 공개 키 인증서를 CRL에 대해 확인하는 작업을 자세히 설명합니다.

그림 20–2 개인 및 공개 키 확인

이 그림은 개인 키 및 공개 키를 확인하기 위한 순서도를 보여 줍니다.

사용자의 개인 키 또는 공개 키 찾기

Communications Express Mail 사용자가 여러 개인 공개 키 쌍과 여러 전자 메일 주소(주, 대체 또는 별칭 주소)를 갖고 있는 경우 키가 이러한 주소와 연결될 수 있습니다. 이 경우 S/MIME 애플릿이 확인을 위해 모든 키를 찾는 것이 중요합니다. smime.conf 파일에서 usercertfilter 매개 변수를 사용하여 공개 키 인증서를 CRL에 대해 확인할 때 키 소유자의 메일 주소 목록을 만드는 필터를 정의합니다. 자세한 내용은 smime.conf 파일의 매개 변수의 usercerfilter를 참조하십시오.

CRL에 대해 인증서 확인

인증서 해지 목록, 즉 CRL은 키 쌍과 인증서를 발급하는 CA가 유지 관리하는 해지된 인증서 목록입니다. CRL 확인이 사용 가능한 경우 시스템은 인증서 요청이 있을 때마다 CRL에서 해당 인증서가 해지되었는지 확인합니다.

smime.conf 파일에서 crlenable이 1로 설정되어 있는 경우에는 만료된 키가 발견될 때 CRL 테스트가 수행됩니다. 공개 키의 인증서를 CRL에 대해 확인합니다. 각 CA에 대해 CRL이 하나만 있을 수 있지만 동일한 CRL이 여러 위치에 있을 수 있습니다.

S/MIME 애플릿이 확인을 수행하라는 요청을 보내면 Messaging Server가 인증서를 CRL에 대해 확인합니다. 공개 키 인증서는 공개 키를 검증하기 위해 사용됩니다. 개인 키는 소유자만 사용할 수 있도록 비밀로 유지되기 때문에 개인 키를 CRL에 대해 직접 확인할 수 없습니다. 따라서 개인 키가 올바른지 확인하려면 키 쌍의 공개 키 인증서가 사용됩니다. 공개 키의 인증서가 CRL 테스트를 통과하면 연관된 개인 키도 테스트를 통과합니다.

소유자가 회사를 그만두거나 스마트 카드를 분실할 경우와 같은 다양한 이유 때문에 인증서가 해지될 수 있습니다.

다음과 같은 세 가지 경우에 인증서를 CRL에 대해 확인합니다.

CRL 액세스

인증서에는 Messaging Server가 CRL을 찾기 위해 사용하는 0개 이상의 URL(배포 지점이라고도 함)이 포함됩니다. 인증서에 CRL URL이 없을 경우 CRL에 대해 확인할 수 없으며 진짜 상태를 알지 못한 채 개인 또는 공개 키를 사용하여 메일을 서명하거나 암호화하게 됩니다.

Messaging Server가 사용할 수 있는 모든 URL을 시도한 후 CRL을 찾거나 액세스하지 못할 경우 인증서 상태가 알 수 없는 것으로 간주됩니다. 상태를 알 수 없는 개인 키 또는 공개 키를 사용할지 여부는 revocationunknown의 설정에 따라 결정됩니다.

각 CA에 대해 하나의 CRL만 지원되지만 동일한 CRL의 여러 복사본이 사용자의 공개 키 인증서 간에 다른 URL로 표시되는 다른 위치에 존재할 수 있습니다. Messaging Server는 CRL에 액세스할 때까지 인증서의 모든 URL 위치를 시도합니다.

정기적으로 CA에서 최신 CRL을 원하는 위치에 다운로드하여 CRL의 여러 복사본에 최 적으로 액세스할 수 있도록 관리할 수 있습니다. 인증서에 포함된 URL을 변경할 수 없지만 인증서의 URL을 CRL 정보가 포힘된 새 URL로 매핑하여 새 CRL 위치를 사용하도록 Messaging Server를 리디렉션할 수 있습니다. 다음 구문을 사용하여 LDAP 디렉토리에서 하나 이상의 매핑 정의 목록을 만듭니다(표 20–3 참조).


msgCRLMappingRecord=url_in_certificate==new_url[|url_login_DN|url_login_password]

url_in_certificate는 CRL을 찾기 위한 이전 정보가 포함된 인증서의 URL입니다. new_url은 새 CRL 정보가 포함된 새 URL입니다. url_login_DN 및 url_login_password에 엑세스할 수 있는 항목의 DN과 비밀번호입니다. 두 옵션은 모두 선택 사항이며 지정하는 경우 새 URL 액세스에 대해서만 사용됩니다.

DN과 비밀번호가 실패할 경우 LDAP 액세스가 거부되며 다른 자격 증명을 사용하여 다 시 시도되지 않습니다. 이러한 로그인 자격 증명은 LDAP URL에 대해서만 유효합니다. smmime.conf에서 crlurllogindn 및 crlurlloginpw를 사용할 경우 매핑 레코드에 로그인 DN과 비밀번호를 지정할 필요가 없습니다. 자격 증명을 사용하여 LDAP에서 공개 키, CA 인증서 및 CRL 액세스를 참조하십시오.

한 계층의 매핑만 허용됩니다. 인증서의 다른 URL을 동일한 새 URL에 매핑할 수 있지만 인증서 URL을 여러 새 URL에 할당할 수는 없습니다. 예를 들어, 다음 매핑 목록은 유효하지 않습니다.

msgCRLMappingRecord=URL12==URL45
msgCRLMappingRecord=URL12==URL66
msgCRLMappingRecord=URL12==URL88
msgCRLMappingRecord=URL20==URL90
msgCRLMappingRecord=URL20==URL93

다음 예는 올바른 매핑 목록입니다.

msgCRLMappingRecord=URL12==URL45
msgCRLMappingRecord=URL14==URL66
msgCRLMappingRecord=URL88==URL66
msgCRLMappingRecord=URL201==URL90
msgCRLMappingRecord=URL202==URL93

LDAP 디렉토리에서 매핑 정의를 만든 후에 smime.conf 파일의 crlmappingurl을 사용하여 이러한 정의를 찾기 위한 디렉토리 정보를 지정합니다. smime.conf 파일의 매개 변수를 참조하십시오.

프록시 서버 및 CRL 확인

시스템에서 클라이언트 응용 프로그램과 Messaging Server 간에 프록시 서버를 사용할 경우 CRL 확인을 수행하기 위해 S/MIME 애플릿을 올바르게 구성했더라도 CRL 확인이 차단될 수 있습니다. 이러한 문제가 발생하면 유효한 키 인증서가 해지 또는 알 수 없는 상태라는 것을 경고하는 오류 메시지가 Communications Express Mail 사용자에게 표시됩니다.

다음과 같은 상황에서 이 문제가 발생합니다.

이 문제를 해결하려면 다음 작업을 수행합니다.

  1. 클라이언트 시스템과 프록시 서버 간의 통신 연결을 SSL을 사용한 보안 연결로 설정 하고 모든 구성 값을 그대로 둡니다. 또는,

  2. 통신 연결을 보안되지 않은 상태로 두고 checkoverssl을 0으로 설정합니다.

자세한 내용은 SSL을 사용하여 인터넷 연결 보안을 참조하십시오.

오래된 CRL 사용

S/MIME 애플릿이 확인을 수행하라는 요청을 보내면 Messaging Server가 인증서를 CRL에 대해 확인합니다. Messaging Server는 인증서를 확인할 때마다 CRL을 메모리로 다운로드하는 대신 CRL 복사본을 디스크에 다운로드하고 해당 복사본을 인증서 확인에 사용합니다. 모든 CRL에는 지정한 날짜 이후에는 최신 버전의 CRL을 사용하도록 지정하는 next-update 필드가 있습니다. next-update 날짜는 CRL 사용의 만료 날짜나 시간 제한으로 간주할 수 있습니다. CRL은 next-update 날짜가 지나면 오래된 것으로 간주되며 Messaging Server는 다음 번에 인증서를 검사할 때 최신 버전의 CRL을 다운로드합니다.

S/MIME 애플릿이 인증서를 CRL에 대해 확인하도록 요청할 때마다 Messaging Server는 다음 작업을 수행합니다.

  1. 현재 날짜를 CRL의 next-update 날짜와 비교합니다.

  2. CRL이 오래된 경우 Messaging Server는 최신 버전의 CRL을 다운로드하여 디스크의 오래된 CRL을 대체한 다음에 확인 작업을 진행합니다. 그러나 최신 버전의 CRL을 찾을 수 없거나 다운로드할 수 없으면 smime.conf 파일의 crlusepastnextupdate 값에 따라 수행할 작업을 결정합니다.

  3. crlusepastnextupdate가 0으로 설정된 경우 오래된 CRL이 사용되지 않으며 해당 인증서는 모호한 상태가 됩니다. S/MIME 애플릿은 smime.conf의 revocationunknown 값에 따라 다음과 같이 수행할 작업을 결정합니다.

    1. revocationunknown이 ok로 설정된 경우 인증서는 유효한 것으로 간주되며 개인 또는 공개 키를 메일의 서명이나 암호화에 사용합니다.

    2. revocationunknown이 revoked로 설정된 경우 인증서는 유효하지 않은 것으로 간주되고 개인 또는 공개 키를 메일 서명이나 암호화에 사용하지 않으며 키를 사용할 수 없다는 오류 메시지를 메일 사용자에게 표시됩니다.

    crlusepastnextupdate가 1로 설정된 경우 S/MIME 애플릿이 오래된 CRL을 계속 사용하므로 Communications Express Mail 내에서 처리 중단이 발생하지 않지만 이러한 상황을 알리기 위해 Messaging Server 로그 파일에 메시지가 기록됩니다.

인증서를 CRL에 대해 확인할 때 이러한 순서의 이벤트가 계속됩니다. Messaging Server가 최신 버전의 CRL을 제때에 smime.conf 파일의 설정에 따라 다운로드할 수 있으면 메일 처리가 중단 없이 계속됩니다. Messaging Server 로그를 정기적으로 확인하여 오래된 CRL이 사용 중임을 나타내는 메시지가 반복되는지 확인합니다. 최신 CRL을 다운로드할수 없는 경우 액세스할 수 없는 이유를 조사해야 합니다.

사용할 메일 시간 지정

timestampdelta 매개 변수는 주로 다음 용도로 사용됩니다.

  1. 메일이 대상에 도착하는 데 오래 걸리는 상황을 처리하는 경우. 이 경우 메일을 보낼 때 키가 유효했더라도 보낸 사람의 키가 잘못된 키로 간주되었을 수 있습니다.

  2. 보낸 시간을 속일 수 있으므로 메일의 보낸 시간에 대한 신뢰를 제한하려는 경우

모든 메일은 다음 두 가지 시간과 관련되어 있습니다.

주 –

메일의 보낸 사람 필드 오른쪽에 있는 삼각형 아이콘을 누르면 메일 헤더 세부 정보를 볼 수 있습니다.

메일을 보낼 때 유효했던 인증서가 메일이 대상에 도착할 때 해지되거나 만료될 수 있습 니다. 이 경우에는 인증서의 유효성을 검사할 때 보낸 시간과 받은 시간 중에서 어떤 시간 을 사용해야 하는지가 중요합니다. 보낸 시간을 사용하면 메일을 보낼 때 인증서가 유효했는지 여부를 확인합니다. 그러나 항상 보낸 시간을 사용하면 메일이 대상에 도착하는 데 오래 걸릴 수 있다는 사실을 고려하지 못합니다.

smime.conf 파일의 timestampdelta 매개 변수를 사용하여 CRL 확인에 사용할 시간에 영향을 줄 수 있습니다. 이 매개 변수는 초를 나타내는 양의 정수로 설정합니다. 받은 시간에서 timestampdelta 값을 뺀 시간이 보낸 시간보다 앞설 경우 보낸 시간이 사용됩니다. 그렇지 않을 경우에는 받은 시간이 사용됩니다. timestampdelta의 값이 작을수록 받은 시간이 더 자주 사용됩니다. timestampdelta를 설정하지 않으면 항상 받은 시간이 사용됩니다. 표 20–3의 timestampdelta를 참조하십시오.

CRL 액세스 문제

네트워크 또는 서버 문제와 같은 다양한 이유 때문에 Messaging Server가 인증서를 CRL에 대해 확인하려고 할 때 CRL을 사용하지 못할 수 있습니다. 이 경우에 Messaging Server가 계속 CRL에 액세스하려고 시도하느라 시간을 낭비하게 하는 대신 smime.conf 파일의 crlaccessfail 매개 변수를 사용하여 CRL 액세스를 시도하는 빈도를 관리함으로써 Messaging Server가 다른 작업을 수행하게 할 수 있습니다.

crlaccessfail을 사용하여 다음을 정의합니다.

매개 변수의 구문과 예는 표 20–3의 crlaccessfail을 참조하십시오.

인증서가 해지된 경우

공개 키의 인증서가 CRL의 항목과 일치하지 않으면 개인 또는 공개 키가 보내는 메일의 서명이나 암호화에 사용됩니다. 인증서가 CRL의 항목과 일치하거나 인증서의 상태를 알 수 없으면 개인 또는 공개 키는 해지된 것으로 간주됩니다. 기본적으로 Communications Express Mail은 해지된 인증서가 포함된 키를 보내는 메일의 서명이나 암호화에 사용하지 않습니다. 수신자가 메일을 읽을 때 서명된 메일의 개인 키가 해지된 경우 수신자에게 서명을 신뢰할 수 없다는 경고 메시지가 표시됩니다.

원할 경우 smime.conf 파일에서 다음 매개 변수를 사용하여 해지된 모든 인증서에 대한 여러 기본 정책을 변경할 수 있습니다.