Administrator's Guide

418 보안 권장사항
SSL (Secure Socket Layer) 인증서
SSL 인증서를 통해 보다 안전한 통신을 만들기 위해 연결을 구축하기 전에 웹 서버 및 사용자가 인증받
게
됩니다 . 인증서에는 네트워크에 시스템 항목을 구축하는 데 사용하는 정보가 들어 있습니다 . 이 확
인
과정을 인증이라고 합니다 . 인증이 확인 규칙 양식과 유사하지만 인증서를 통해 보다 안전한 통신을
만들기 위해 연결을 구축하기 전에 웹 서버 및 사용자가 인증받게 됩니다 . 인증서에는 또한 클라이언트
와
서버 간의 SSL 연결을 구축하는 데 사용하는 암호화 값 또는 키가 들어 있습니다 . 이 연결에 전송된
신용 카드 번호 등의 정보는 노출되거나 인증받지 않은 곳에서 사용할 수 없도록 암호화됩니다 .
두 가지 종류의 인증서가 SSL 에 사용되며 각 종류 마다 고유 형식 및 용도가 있습니다 .
•
클라이언트 인증서 N 사이트 액세스를 요청하는 클라이언트에 대한 개인 정보가 들어 있으며 , 이를
통해 해당 사이트에 액세스를 허용하기 전에 클라이언트를 확인할 수 있습니다 .
•
서버 인증서 N 서버에 대한 정보가 들어 있으며 , 이를 통해 클라이언트가 중요 정보를 공유하기 전
에
서버를 확인할 수 있습니다 .
서버 인증서
웹 서버의 SSL 3.0 보안 기능을 활성화하려면 유효한 서버 인증서를 구하고 설치해야 합니다 . 서버 인
증서는
웹 서버 및 서버의 웹 컨텐트를 후원하는 조직에 대한 정보가 들어 있습니다 . 사용자는 서버 인
증서를
통해 서버를 인증하고 , 웹 컨텐트의 유효성을 확인하고 , 안전한 연결을 구축할 수 있습니다 . 서
버
인증서에는 또한 클라이언트와 서버 간의 안전한 연결을 만드는 데 사용하는 공용 키가 들어 있
습니다
.
확인용의 서버 인증서의 성공은 사용자가 인증서에 들어 있는 정보의 유효성을 신뢰하는지의 여부에
따라 다릅니다 . 예를 들어 , 사용자가 회사 웹 사이트에 로그온하면 회사의 서버 인증서 내용을 검토했
다고
해도 신용 카드 정보 제공을 꺼리게 됩니다 . 신생 회사이면서 잘 알려지지 않은 경우 이런 일이 발
생할
수 있습니다 .
이러한 이유로 , 인증서는 때때로 CA (Certification Authority) 라고 하는 상호 신뢰의 써드 파티 조직에
의해 발행 및 배서됩니다 . 인증 기관의 주요 책임은 인증서를 찾는 사람들의 ID 를 확인하고 인증서에
들어 있는 인증 내용의 유효성을 보장하는 것입니다 .
또한 , 조직과 웹 사이트 사용자와의 관계에 따라 서버 인증서를 발행할 수 있습니다 . 예를 들어 , 직원
의
급료 및 혜택 정보를 다루는 큰 규모의 기업 인트라넷의 경우에는 기업 관리 부서에서 인증 서버를
유지 관리하고 ID 정보 확인 및 서버 인증서 발행에 대한 책임을 지는 것으로 결정할 수 있습니다 .
MBSA (Microsoft Baseline Security Analyzer)
MBSA (Microsoft Baseline Security Analyzer) 를 사용하여 모든 보안 취약성을 검색하십시오 . MBSA 는
일반적인 잘못된 보안 구성에 대해 Windows 기반의 서버를 스캔합니다 . 해당 툴은 운영 체제 및 IIS
(Internet Information Services)
등의 기타 설치 구성 요소를 스캔합니다 . MBSA 는 또한 시스템에서 누
락된
보안 패치를 확인하고 중요 보안 패치 및 수정본을 권장합니다 .