12장 TLS 및 레거시 SSL에 의한 Instant Messaging 보안

Instant Messaging은 보안 통신을 위해 TLS(Transport Layer Security) 및 레거시 SSL(Secure Sockets Layer) 프로토콜을 지원합니다. 이러한 프로토콜을 사용하여 Instant Messaging 보안을 설정하기 위한 지침과 관련하여 이 장에서 다루는 내용은 다음과 같습니다.

• Instant Messaging에서의 TLS 및 레거시 SSL 사용 개요

• Instant Messaging 서버를 위한 TLS 설정

• Instant Messaging 서버에서 TLS 활성화

• 멀티플렉서 및 Instant Messenger를 위한 레거시 SSL 설정

• Instant Messenger의 보안 버전 호출

Instant Messaging에서의 TLS 및 레거시 SSL 사용 개요

Instant Messaging은 TLS(Transport Layer Security) 1.0 프로토콜의 startTLS 확장을 클라이언트 대 서버 및 서버 대 클라이언트 암호화된 통신과 서버 간의 인증서 기반 인증에 사용합니다. 또한 Instant Messaging은 Instant Messenger와 멀티플렉서 간의 암호화된 통신을 위해 SSL 프로토콜(버전 3.0)의 레거시 구현도 지원합니다. 후자의 경우 인증서는 클라이언트에서 연결하는 서버의 Identity를 확인하는 데 사용되지만 인증에는 사용되지 않습니다.

멀티플렉서와 서버 간의 통신은 비보안 전송을 통해 이루어집니다. 클라이언트 대 서버 통신에 TLS를 사용하면 멀티플렉서에서 단순히 클라이언트와 서버 간에 바이트를 중개할 뿐이며 암호화 또는 해독 작업을 수행하지는 않습니다.

TLS는 SSL과 완전히 호환되며 필요한 SSL 기능을 모두 포함하고 있습니다. TLS 및 SSL은 XMPP 및 HTTP 응용 프로그램 계층 아래의 프토로콜 계층으로 작동합니다.

레거시 SSL만 사용하도록 멀티플렉서를 구성하면 Instant Messenger에서 SSL을 사용하는 멀티플렉서에만 연결하며 서버로부터 반환되는 TLS 가용성에 관한 정보는 모두 무시됩니다. 그러나 멀티플렉서에 레거시 SSL을 사용하도록 선택하면 모든 XMPP/HTTP 게이트웨이 인스턴스에서 멀티플렉서가 아니라 서버와 직접 통신하도록 구성해야 합니다. 이 게이트웨이는 레거시 SSL을 지원하지 않습니다. 레거시 SSL을 통해 멀티플렉서에 연결하고 TLS 연결을 요청하는 타사 클라이언트의 경우 레거시 SSL을 지원합니다.

또한 멀티플렉서는 비보안 전송을 통해 서버에 연결되므로엔드 투 엔드 통신(멀티플렉서를 통한 클라이언트 대 서버 통신)을 보호하려면 레거시 SSL 대신 TLS를 사용해야 합니다.

Instant Messaging 서버에 TLS를 사용하려면 Java 1.5 이상을 사용해야 합니다.

XMPP의 TLS 및 StartTLS에 대한 내용은 RFC 3920, Extensible Messaging and Presence Protocol: Core의 "Use of TLS"를 참조하십시오. 인증서, SSL 및 TLS에 대한 개요는 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 Introduction to Certificates and SSL를 참조하십시오. 이 절에서는 Sun Java^TM System Application Server를 사용하여 인증서를 생성한다고 가정합니다. 따라서 다른 웹 컨테이너를 사용하는 경우 해당 웹 컨테이너의 설명서에서 키 저장소 및 인증서 생성과 관련된 지침을 참조해야 합니다.

Instant Messaging 서버를 위한 TLS 설정

Instant Messaging 서버 대 서버 및 클라이언트 대 서버 통신을 위한 TLS를 활성화하려면 다음에 나오는 일반 단계를 수행해야 합니다.

1. keytool 유틸리티를 사용하여 Java 키 저장소(JKS) 및 개인 키 만들기

   keytool 유틸리티에 대한 개요는 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 Tools for Managing Security를 참조하십시오. Sun Java System Application Server를 사용하여 JKS를 생성하기 위한 지침은 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 Working with Certificates and SSL을 참조하십시오.

2. 개인 키를 사용하여 Instant Messaging 서버의 서버 인증서 생성

   자세한 지침은 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 Generating a Certificate Using the keytool Utility을 참조하십시오.

3. 인증 기관(CA)에서 서명한 Instant Messaging 서버 인증서 가져오기

   자세한 지침은 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 Signing a Digital Certificate Using the keytool Utility을 참조하십시오. 해당되는 경우 Application Server를 Instant Messaging으로 대체합니다.

4. Instant Messaging 서버 재시작

   자세한 내용은 Instant Messaging 구성 요소 시작을 참조하십시오.

5. CA의 루트 인증서 가져오기

   CA의 루트 인증서를 가져오기 위한 지침은 해당 CA에 문의하십시오.

6. 키 저장소로 인증서 가져오기

   Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 Using the keytool Utility에서 설명한 대로 keytool 유틸리티를 사용하여 CA 루트 인증서와 서명된 서버 인증서를 키 저장소로 가져옵니다.

7. iim.conf 파일에 적절한 매개 변수를 설정하여 서버에서 TLS 활성화

   자세한 지침은 Instant Messaging 서버에서 TLS 활성화 를 참조하십시오.

8. TLS 경유 서버 대 서버 통신의 경우 TLS를 통해 통신할 각각의 서버에 대해 이러한 단계를 반복해야 합니다. Instant Messenger에서 TLS를 사용하도록 구성하기 위해 수행해야 하는 작업은 없습니다. 또한 멀티플렉서도 TLS에 대해 구성할 필요가 없지만 TLS를 사용하려는 경우 멀티플렉서에서 레거시 SSL을 사용하도록 설정하면 안 됩니다.

9. 배포에서 XMPP/HTTP 게이트웨이를 사용하는 경우 멀티플렉서가 아니라 Instant Messaging 서버와 직접 통신하도록 게이트웨이를 구성합니다.

Sun Java System Application Server를 사용하는 경우 1-5단계는 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 Working with Certificates and SSL에서 설명됩니다. 6단계는 Instant Messaging 서버에서 TLS 활성화 에서 설명됩니다.

Instant Messaging 서버에서 TLS 활성화

서버에서 TLS를 활성화하려면 Instant Messaging 서버를 위한 TLS 설정 에서 설명한 대로 JKS를 만들고, 서명된 서버 인증서를 가져와 설치하고, CA의 인증서를 신뢰해야 합니다. 서버 대 서버 및/또는 클라이언트 대 서버 통신에 TLS를 사용하려면 서버에서 TLS를 활성화합니다.

표 12–1에는 Instant Messaging 서버에서 TLS를 활성화하는 데 사용되는 iim.conf의 매개 변수가 나열되어 있습니다. 또한 이러한 매개 변수의 기본값과 설명도 포함되어 있습니다.

/im-cfg-base/server-keystore.jks

Instant Messaging 서버에서 TLS 통신을 활성화하려면

여기서 설명하는 절차를 사용하여 다음과 같은 방식으로 TLS를 통해 보안 통신을 사용하도록 Instant Messaging 서버를 구성합니다.

• 모든 클라이언트와 서버 연결에 대해 TLS를 요구합니다.

• 특정 서버 대 서버 연결에 대해서만 TLS를 요구합니다.

• 초기 통신 세션을 설정하고 나서 보안 전송을 요청하는 클라이언트와 서버에 대해 TLS 연결을 허용합니다.

• 특정 서버 대 서버 연결에 대해 TLS를 요구하고 다른 클라이언트와 서버에 대해 TLS 연결을 허용하도록 조합합니다.

시작하기 전에

Instant Messaging 서버를 위한 TLS 설정 에서 설명한 대로 JKS를 만들고, 서버 인증서를 가져와 설치하고, CA의 인증서를 신뢰하도록 구성했는지 확인합니다.

서버 대 서버 TLS 통신의 경우 TLS를 사용하도록 설정할 각각의 서버에서 이 절차를 수행해야 합니다.

1. iim.conf에 다음 매개 변수에 대한 값을 추가합니다.

   iim.conf에 매개 변수가 아직 없으면 해당 매개 변수를 추가합니다.

   iim_server.sslkeystore=server-keystore.jks iim_server.keystorepasswordfile=sslpassword.conf

   이제는 서버에서 TLS를 통해 통신할 수 있는 정보를 사용하여 클라이언트 또는 다른 Instant Messaging 서버의 연결 요청에 응답하게 됩니다. 이에 따라 요청하는 클라이언트 또는 서버에서 TLS를 통한 보안 연결을 설정할지 선택합니다.

2. 서버에서 클라이언트로부터의 모든 연결, 원격 서버 및 피어 서버에 대해 TLS를 요구하도록 하려면 iim.conf에 다음 매개 변수를 추가합니다.

   iim_server.requiressl=true

   이 매개 변수를 true로 설정하면 서버에서 TLS를 지원하지 않는 클라이언트, 원격 서버 또는 피어 서버와의 연결을 종료합니다. TLS를 통한 클라이언트 대 서버 보안 통신을 요구하려면 이 매개 변수를 사용합니다.

   서버 대 서버 통신에 대한 자세한 내용은 8 장, 여러 Instant Messaging 서버 배포 연합 을 참조하십시오.

3. 특정 원격 서버 또는 피어 서버와의 통신에서만 TLS를 요구하도록 하려면 iim.conf에 다음 매개 변수를 추가합니다.

   iim_server.coserver1.requiressl=true

   TLS를 요구할 각각의 코서버에 대해 이 매개 변수를 설정합니다.

   iim_server.requiressl을 true로 설정하면 서버에서 통신하는 모든 서버와의 연결에 대해 TLS 연결을 요구합니다. 이 경우 이 매개 변수는 특정 코서버에 대해 설정하지 않아도 됩니다.

4. (옵션) 서버에서 받은 인증서를 모두 신뢰하고 해당 인증서 정보를 로그 파일에 추가하도록 하려면 iim.conf에 다음 매개 변수를 추가합니다.

   iim_server.trust_all_cert=true

   ---

   주의 –

   실제로 작동하기에 앞서 이 기능을 사용하여 배포를 테스트해야할 수도 있습니다. 그러나 일반적으로 심각한 보안 위험이 노출될 수 있으므로 배포된 시스템에서는 이 테스트를 수행하지 않는 것이 좋습니다. true이면 서버에서 만료된 인증서와 자체 서명된 인증서를 포함한 모든 인증서를 신뢰하고, 해당 인증서 정보도 로그 파일에 추가합니다. false이면 서버에서 인증서 정보를 로그하지 않으며 CA에서 서명한 유효한 인증서만 신뢰합니다.

   ---

5. imadmin 명령으로 서버 구성을 새로 고칩니다.

   imadmin refresh server

6. TLS가 제대로 작동하는지 확인합니다.

   이 작업은 다양한 방식으로 수행할 수 있습니다. 예를 들어 Instant Messenger의 보안 버전 호출의 단계를 수행하는 것도 여기에 포함됩니다.

예 12–1 iim.conf의 TLS 구성

다음은 서버 대 서버 통신과 클라이언트 대 서버 통신에 필요한 TLS 구성이 포함된 iim.conf 파일의 섹션 예입니다. 이 예의 매개 변수 값은 사용자의 배포에 따라 달라집니다.

! Server to server communication port.
iim_server.port = "5269"
! Should the server listen on the server to server
! communication port
iim_server.useport = "True”
iim_server.coservers=coserver1
iim_server.coserver1.serverid=Iamcompany22
iim_server.coserver1.password=secretforcompany22
iim_server.coserver1.host=iim.i-zed.com:5269
iim_server.serverid=Iami-zed
iim_server.password=secret4i-zed
iim_server.trust_all_cert=true
iim_server.sslkeystore=/var/im/server_keystore.jks
iim_server.keystorepasswordfile=/var/im/sslpassword.conf

멀티플렉서 및 Instant Messenger를 위한 레거시 SSL 설정

TLS를 지원하지 않는 Instant Messaging 클라이언트를 사용하는 경우에도 클라이언트 대 멀티플렉서 통신을 위해 TLS 대신 SSL을 사용할 수 있습니다. 그러나 SSL을 사용하도록 멀티플렉서를 구성하면 클라이언트 대 서버 통신에 TLS를 사용할 수 없습니다. 멀티플렉서와 서버 간의 모든 통신은 비보안 전송을 통해 일반 텍스트로 수행됩니다.

멀티플렉서에서 레거시 SSL을 설정하고 XMPP/HTTP 게이트웨이를 사용하는 경우 멀티플렉서가 아니라 서버와 직접 통신하도록 게이트웨이를 구성해야 합니다. 이 게이트웨이는 레거시 SSL을 지원하지 않습니다.

멀티플렉서와 Instant Messenger 간에 SSL을 활성화하려면 다음이 필요합니다.

1. CA에 Instant Messaging 멀티플렉서에 대한 SSL 인증서 요청

2. 인증서 설치

3. 멀티플렉서와 Instant Messenger 간 레거시 SSL 활성화

4. Instant Messaging 서버에서 TLS 활성화

5. Instant Messenger의 보안 버전 호출

CA에 Instant Messaging 멀티플렉서에 대한 SSL 인증서 요청

멀티플렉서에서 SSL을 활성화하려면 인증서를 요청해야 합니다.

Instant Messaging 멀티플렉서에 대한 인증서를 요청하려면

여기서는 Sun Java System Web Server 또는 Sun Java System Application Server를 웹 컨테이너로 사용하여 인증서를 요청한다고 가정합니다.

멀티플렉서는 인증서 관리에 NSS를 사용하므로 NSS 유틸리티를 사용하여 인증서와 인증서 데이터베이스를 만들고, 관리하고, 사용할 수 있습니다.

1. 웹 브라우저에서 다음 URL을 입력하여 웹 컨테이너의 관리 서버를 시작합니다.

   http://hostname.domain-name:administration-port

   아이디와 비밀번호를 묻는 창이 표시됩니다.

2. Web Server 또는 Application Server를 설치할 때 지정한 관리 아이디와 비밀번호를 입력합니다.

   Administratoin Server 페이지가 표시됩니다.

3. 별도의 Web Server 또는 Application Server 인스턴스를 만듭니다.

   여러 Application Server 인스턴스 설치에 대한 자세한 내용은 Sun Java System Application Server Enterprise Edition 8.2 Installation Guide를 참조하십시오. 여러 Web Server 인스턴스 설치에 대한 자세한 내용은 Sun Java Communications Suite 5 Installation Guide를 참조하십시오.

4. 공개 키와 개인 키(키 쌍 파일이라고 함)를 저장하는 신뢰할 수 있는 데이터베이스를 만듭니다.

   키 쌍 파일은 SSL 암호화에 사용됩니다.

   신뢰할 수 있는 데이터베이스를 만드는 방법에 대한 내용은 Application Server의 경우 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 9 장, Configuring Security을 참조하고, Web Server의 경우 Sun Java System Web Server 7.0 Administrator’s Guide의 6 장, Certificates and Keys를 참조하십시오.

5. CA에 인증서를 요청합니다.

   인증서 요청에 대한 자세한 내용은 Application Server의 경우 Sun Java System Application Server Enterprise Edition 8.2 Administration Guide의 9 장, Configuring Security, Web Server의 경우 Sun Java System Web Server 7.0 Administrator’s Guide의 6 장, Certificates and Keys를 참조하십시오.

인증서 설치

인증 기관에서 서명된 서버 인증서를 받은 후에는 보안 통신을 위해 인증서를 설치하고 데이터베이스를 만들어야 합니다.

Instant Messaging 멀티플렉서에 대한 인증서를 설치하려면

1. 웹 브라우저에서 다음 URL을 입력하여 관리 서버를 시작합니다.

   http://hostname.domain-name:administration-port

   아이디와 비밀번호를 묻는 창이 표시됩니다.

2. Web Server 또는 Application Server를 설치할 때 지정한 관리 아이디와 비밀번호를 입력합니다.

   Administration Sevrer 페이지가 표시됩니다.

3. 서버 인증서를 설치합니다.

   인증서 설치에 대한 자세한 내용은 http://docs.sun.com에 있는 Web Server 또는 Application Server 제품 설명서를 참조하십시오.

4. Web Server 또는 Application Server의 /alias 디렉토리로 이동합니다.

5. 데이터베이스 파일을 /alias 디렉토리에서 Instant Messaging 서버의 im-cfg-base 디렉토리로 복사합니다.

   예를 들어 Solaris의 경우 다음과 같습니다.

   cp https-serverid-hostname-cert8.db /etc/opt/SUNWiim/default/config/cert8.db

   cp https-serverid-hostname-key3.db /etc/opt/SUNWiim/default/config/key3.db

   cp secmod.db /etc/opt/SUNWiim/default/config/secmod.db

   Linux의 경우 다음과 같습니다.

   cp https-serverid-hostname-cert8.db /etc/opt/sun/im/default/config/cert8.db

   cp https-serverid-hostname-key3.db /etc/opt/sun/im/default/config/key3.db

   cp secmod.db /etc/opt/sun/im/default/config/secmod.db

   ---

   주 –

   멀티플렉서에서 사용되는 시스템 사용자에게 cert7.db, key3.db 및 secmod.db 파일에 대한 읽기 권한을 허용해야 합니다. 또한 여러 Instant Messaging 인스턴스를 만든 경우 /default 디렉토리의 이름은 해당 인스턴스에 따라 달라집니다.

   ---

   im-cfg-base의 기본 위치는 표 3–1을 참조하십시오.

6. 멀티플렉서 호스트의 im-cfg-base로 이동합니다.

   im-cfg-base 찾기에 대한 내용은 Instant Messaging 서버 디렉토리 구조를 참조하십시오.

7. 선택한 텍스트 편집기를 사용하여 sslpassword.conf 파일을 만듭니다.

8. sslpassword.conf에 다음 줄을 입력합니다.

   Internal (Software) Token:password

   여기서 password는 신뢰할 수 있는 데이터베이스를 만들 때 지정한 비밀번호입니다.

9. sslpassword.conf를 저장한 다음 닫습니다.

10. 모든 Instant Messenger 최종 사용자가 sslpassword.conf 파일에 대한 소유권 및 읽기 권한을 갖도록 합니다.

11. 멀티플렉서를 다시 시작합니다.

12. SSL이 제대로 작동하는지 확인합니다.

    이 작업은 다양한 방식으로 수행할 수 있습니다. 예를 들어 Instant Messenger의 보안 버전 호출의 단계를 수행하는 것도 여기에 포함됩니다.

13. Web Server 또는 Application Server에 관리자로 로그인합니다.

14. 인증서를 요청할 때 만든 서버 인스턴스를 제거합니다.

멀티플렉서와 Instant Messenger 간 레거시 SSL 활성화

Instant Messenger 클라이언트의 보안 버전을 사용하여 iim.conf의 매개 변수를 수정한 다음 멀티플렉서에 연결하여 클라이언트 대 멀티플렉서 통신을 위한 SSL을 활성화할 수 있습니다.

표 12–2에는 Instant Messenger와 멀티플렉서 간에 SSL을 활성화하기 위한 iim.conf 의 매개 변수가 나열되어 있습니다. 또한 이러한 매개 변수의 기본값과 설명도 나열되어 있습니다.

Instant Messenger와 멀티플렉서 간에 SSL을 활성화하려면

1. iim.conf를 엽니다.

   iim.conf 파일 찾기 및 수정에 대한 지침은 iim.conf 파일 구문을 참조하십시오.

2. 표 12–2의 값을 iim.conf의 멀티플렉서 구성 매개 변수에 추가합니다.

예 12–2 iim.conf의 레거시 SSL 멀티플렉서 구성

다음은 멀티플렉서 구성 매개 변수가 있는 iim.conf의 예입니다.

! IIM multiplexor configuration
! =============================
!
! Multiplexor specific options

! IP address and listening port for the multiplexor.
! WARNING: If this value is changed, the port value of ’-server’
! argument in the client’s im.html and im.jnlp files should 
! also be changed to match this.
iim_mux.listenport = "siroe.com:5222"

! The IM server and port the multiplexor talks to.
iim_mux.serverport = "siroe.com:45222"

! Number of instances of the multiplexor.
iim_mux.numinstances = "1"

! Maximum number of threads per instance
iim_mux.maxthreads = "10"

! Maximum number of concurrent connections per multiplexor process
iim_mux.maxsessions = "1000"

                         
iim_mux.usessl = "on"
iim_mux.secconfigdir = "/etc/opt/SUNWiim/default/config"
iim_mux.keydbprefix = "This-Database"
iim_mux.certdbprefix = "Secret-stuff"
iim_mux.secmodfile = "secmod.db"
iim_mux.certnickname = "Multiplexor_Cert"
iim_mux.keystorepasswordfile = "sslpassword.conf"

Instant Messenger의 보안 버전 호출

Instant Messenger는 TLS를 자동으로 지원합니다. Instant Messaging 서버에서 TLS 활성화 에서 설명한 대로 TLS를 사용하도록 서버를 구성한 경우 Instant Messenger가 서버에 연결될 때 서버에서 TLS 세션을 지원할 수 있다고 클라이언트에 전달합니다. 그러면 Instant Messenger에서 TLS를 사용하는 연결로 변경하도록 요청합니다.

웹 브라우저에서 imssl.html 또는 imssl.jnlp에 액세스하여 Instant Messenger의 레거시 SSL 버전을 호출할 수 있습니다. 이 파일들은 모든 Instant Messenger 자원이 저장되어 있는 기본 디렉토리인 자원 디렉토리 아래에 있습니다.

이러한 애플릿 설명자 파일에 대한 링크도 index.html에 추가할 수 있습니다.

멀티플렉서에 대해 레거시 SSL을 구성하거나 서버에 대해 TLS를 구성했으면 Instant Messenger 클라이언트에서 보안 연결이 수행되었음을 확인할 수 있습니다.

Instant Messenger 보안 연결을 확인하려면

1. Instant Messenger에 로그인합니다.

   레거시 SSL을 사용하는 경우 웹 브라우저에서 imssl.html 또는 imssl.jnlp에 액세스합니다. TLS를 사용하는 경우 일반적으로 클라이언트에 액세스합니다. 자세한 내용은 Instant Messenger 호출을 참조하십시오.

   TLS를 사용할 수 있는 경우와 멀티플렉서에서 레거시 SSL을 사용하도록 구성되지 않은 경우에는 Instant Messenger에서 항상 TLS를 사용합니다.

2. Instant Messenger 주 창에서 자물쇠 아이콘이 보이는지 확인합니다.

   Instant Messenger에서 SSL 또는 TLS 보안 전송을 사용하고 있으면 주 창의 오른쪽 아래 모서리에 자물쇠 아이콘이 표시됩니다.