안녕하세요!
DigitalOcean에서 Discourse Ready VPS를 설치했습니다. 제 웹사이트는 HTTPS로 작동하고 있습니다. 아마 무료 Let’s Encrypt를 사용 중인 것 같습니다. 정말 안전한가요? 또한 Comodo SSL도 구매했습니다. Comodo 패널에서 인증서를 생성하려고 하면 CSR 코드를 요청합니다. CSR을 어떻게 생성해야 하나요? 아니면 제가 뭔가 잘못하고 있는 건가요? 처음 해보는 것이라 잘 모르겠습니다. 도와주세요.
discourse에서 생성된 SSL은 letsencrypt에 의해 발급되며, 상당히 안전합니다.
그러나 직접 SSL 인증서를 설정하려면 다음 지침을 따르세요:
보안 관점에서는 Let’s Encrypt와 Comodo 사이에 차이가 없습니다. 지원하는 암호화 방식도 동일합니다. 유일한 차이는 하나는 무료이고 자동으로 발급되는 반면, 다른 하나는 비용을 지불하고 수동으로 갱신해야 한다는 점입니다. 유료 인증서가 정말, 정말 필요한 특별한 이유가 없는 한, Let’s Encrypt를 사용하면서 불필요한 번거로움(과 일부 비용)을 줄이시는 것이 좋습니다.
Let’s Encrypt를 영구적으로 사용해야 하나요? 아니면 연례 갱신 같은 다른 조치가 필요한가요?
3개월마다 자동으로 갱신됩니다. 무료이고, 잘 작동합니다.
Discourse 설치에 인증서를 구매할 이유는 없습니다.
인증서는 인증서이며*, Comodo는 Let’s Encrypt에 대한 끊임없는 FUD(공포·불안·의심) 선동으로 인해 이 분야에서 악의적인 행위자로 널리 인식되어 왔습니다. (그 정도가 자체 웹 브라우저를 사용해 Let’s Encrypt 인증서를 사용하는 사이트를 "보안 없음"으로 표시하거나, Let’s Encrypt 자체에 상표 등록을 시도할 정도입니다.) 인증서는 사용되는 암호화의 종류나 강도를 결정하지 않습니다. 결론부터 말하면, Let’s Encrypt의 인증서를 사용하십시오. 다른 것이 필요한 이유는 단순히 없습니다.
*물론, 대부분 그렇습니다. 인증서는 DV(도메인 검증), OV(조직 검증), EV(확장 검증)로 나뉘며, 검증 대상(그리고 당연히 비용)이 다릅니다. DV 인증서는 해당 인증서가 실제로 도메인 이름에 속하는지 검증합니다. OV 인증서는 해당 인증서가 조직 이름에 속하는지 검증합니다(브라우저에서 이를 보여주는 것은 인증서 세부 정보로 들어가야만 합니다). EV 인증서는 OV 인증서와 동일한 작업을 수행하지만 더 엄격하며, 역사적으로 브라우저에서 "녹색 바"를 표시해 왔지만, 이는 곧 사라질 예정입니다. 어떤 종류의 인증서도 소유자가 "착한 사람"인지 검증하지 않으며, 그들 간의 암호화 수준에는 절대적인 차이가 없습니다.
Let’s Encrypt는 등록 시 DNS 이름을 검증함으로써 이를 효과적으로 달성합니다.
참고로 Chrome 77에서 녹색 막대가 제거되었으며, 현재 릴리스 버전은 78.x, 베타 버전은 79.x입니다.
그래서 제가 "역사적으로"라고 말한 것입니다. Chrome에서는 사라졌지만, Firefox와 IE(현재 제가 쉽게 테스트할 수 있는 유일한 다른 브라우저들)에는 여전히 남아 있습니다.
Firefox 70에서도 주소 표시줄에서 사라졌으며, 이것은 지난달에 적용된 것입니다. Safari에서도 사라졌습니다.
IE는 2019년 10월 기준 시장 점유율이 1.98%에 불과하므로 더 이상 브라우저로 간주하기 어렵습니다.
이 시점에서 EV가 완전히 사라졌다고 확인해도 될 것 같습니다.
마이크로소프트 엣지는 어떨까요?
2.05%로, 삼성이 갤럭시 스마트폰에 기본 설치하는 브라우저(3.29%)보다 낮습니다.
그 시장 점유율이 Internet Explorer와 비슷한 수준이라는 건가요? 그렇다면 이 브라우저도 더 이상 제대로 된 브라우저로 인정받지 못하게 되는 건가요?
그래서 Microsoft는 2020년 1월 15일에 Edge를 Chromium 기반으로 전환했습니다.
아, 그래. 어떻게 될지 지켜봐야겠네.
동의합니다. 다만, CAs가 이를 판매하기 위해 어떤 다른 판매 포인트를 찾아낼지 지켜보는 것도 흥미로울 것 같습니다 (물론 재미있기도 하고 답답하기도 하겠지만요).
EV는 PKI가 충분히 이해되지 않았고, SSL은 "전자상거래 전용"으로 여겨졌으며, 피싱 공격이 급격히 증가하던 시기에 등장했습니다.
신뢰를 추가한다는 아이디어는 좋았지만, 결국 CA(공인인증기관)들이 이를 망친 것입니다.
Let’s Encrypt는 모든 정당한 이유에서 이들(CA)에게 큰 위협이 되고 있습니다.