😡 NGINX : SSL 문제 해결 방법(curl: (60) Peer's Certificate issuer is not recognized. / SunCertPathBuilderException: unable to find valid certification path to requested target)

🚨 Error :

💡 NGINX에 ssl 적용을 테스트하는데 문제가 발생했다.

 

📜 nginx.conf 일부

http {

    ssl_certificate /path/
    ssl_certificate_key /path/

    server {
        listen 8080 ssl;
        server_name test;
        ...
    }
    ...
}

• ssl_certificate에는 인증서의 경로를 적고, ssl_certificated_key에는 해당 인증서의 개인 키 파일 경로가 들어가야 한다.
  • 이를 통해 NGINX 서버에 HTTPS 연결을 설정하고 암호화된 통신을 적용할 수 있다. 
• 수정을 마치고 로컬 서버의 크롬 브라우저에서 해당서버로 HTTPS 접속을 시도했더니 성공했다.
• Postman으로도 POST, GET 요청을 보냈는데 잘 되길래 정상적으로 작동되는 줄 알았다.

 

마지막으로 스프링 부트 서버 간의 통신을 테스트하는데... 

 

Caused by: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
        at java.base/sun.security.provider.certpath.SunCertPathBuilder.build(SunCertPathBuilder.java:141)
        at java.base/sun.security.provider.certpath.SunCertPathBuilder.engineBuild(SunCertPathBuilder.java:126)
        at java.base/java.security.cert.CertPathBuilder.build(CertPathBuilder.java:297)
        at java.base/sun.security.validator.PKIXValidator.doBuild(PKIXValidator.java:434)

• 위와 같은 에러가 발생했다.
• 해당 인증서에 대한 검증에 실패한 듯했다.
• 해당 스프링 부트 서버가 작동 중인 인스턴스에서 curl 명령어로 접속을 시도해 보았다.

 

curl: (60) Peer's Certificate issuer is not recognized.
More details here: http://curl.haxx.se/docs/sslcerts.html
curl performs SSL certificate verification by default, using a "bundle"
of Certificate Authority (CA) public keys (CA certs). If the default
bundle file isn't adequate, you can specify an alternate file
using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
the bundle, the certificate verification probably failed due to a
problem with the certificate (it might be expired, or the name might
not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
the -k (or --insecure) option.

• 인증서를 발급한 CA의 검증이 실패했다고 나왔다.
• 그래서 nginx가 설치된 서버에서도 curl 명령어로 HTTPS 접속을 시도하니 같은 에러가 발생했다.
  • 두 서버 모두 CENTOS7이다.
• 로컬 PC의 크롬 브라우저나 포스트맨에서는 접속이 되는데 인스턴스 서버에서는 접속이 되지 않았다. 
• 더욱이 기존에 스프링부트 서버의 application.properties에 ssl 적용을 했을 때는 해당 문제가 없었기 때문에 NGINX 설정의 문제처럼 보였다.

🤓 원인 :

📌 이 문제를 정확히 이해하기 위해서는 ssl 인증서와 그 종류에 대해 알고 있어야 한다.

• ssl 인증의 핵심은 신뢰기관(CA)으로부터 디지털 방식으로 서명받은 인증서를 바탕으로 해당 사이트가 안전함을 인증받는 것이다.
  • 인증서는 누구나 만들 수 있는데 웹 브라우저에서는 공인 인증 기관의 목록에 포함되어 있는 조직에서 발급한 인증서만을 신뢰한다.
  • 그렇지 않은 경우에는 신뢰받지 못한 사이트라며 경고 문구를 내보낸다.
• ssl 인증서는 루트 인증서, 체인 인증서, 서버(도메인) 인증서가 있다.
  • SSL 인증서를 발급받으면 기본적으로 루트인증서, 체인인증서, 서버인증서, 키 이렇게 네 개의 파일이 포함되어 있다.
• 웹 브라우저는 공공 인증 기관의 루트 인증서를 신뢰하고 있기 때문에 루트 인증서와 서버 인증서를 체인 인증서로 연결하여 해당 서버 인증서가 공인 인증 기관으로부터 발급된 것임을 신뢰할 수 있다.
• 나의 경우에는 서버 인증서 하나만 nginx.conf에 등록했기 때문에 위와 같은 에러가 발생한 것이다.

 

🤔 크롬 브라우저와 Postman에서는 문제없이 작동했는데?

• 최신 웹브라우저 등에는 루트 인증서 외에도 체인 인증서까지 목록에 보유하고 있어 서버 인증서만을 설정해도 접속이 가능하다.
  • 로컬 PC의 크롬 브라우저와 Postman에서 문제없이 접속이 가능했던 이유가 여기에 있다.
• 관련 블로그를 찾아보니 CENTOS의 경우 7.7까지는 sectigo(인증기관) 루트 인증서를 수동으로 서버에 등록을 해줘야 하는 듯하다.
  • 현재 sectigo 인증서를 사용 중이다. 
  • 그래서 서버에서 curl 명령어로 접속을 시도했을 때는 에러가 발생한 것이다. 

 

🤔 그럼 기존의 application.properties로 ssl 적용을 했을 때는 왜 문제가 없었는지?

• 스프링부트 서버의 경우 .pfx 파일로 이미 통합된 인증서를 사용하고 있었기 때문에 문제가 발생하지 않았다.
• 그런데 이 .pfx를 그대로 nginx의 ssl_certificate에 적용하면 nginx: [emerg] invalid number of arguments in "ssl_certificate" directive in ... 와 같은 에러가 발생한다.
• 그래서 서버 인증서를 따로 사용하다가 문제가 발생한 것이다.

🚒 해결 :

https://www.comodossl.co.kr/certificate/ssl-installation-guides/Nginx.aspx

Nginx : 인증서 적용 - HanbiroSSL

cat 도메인.crt 체인.crt. 루트.crt > nginx_ssl

• 위 링크에 나온 형식대로 cat 명령어로 인증서를 합쳐 새로운 nginx_ssl 파일을 만들고 적용하니 문제없이 작동했다.
• bundle 파일이 따로 존재하여 체인+루트 하나로 합친 경우도 있으니 발급받은 인증서 사이트에서 찾아보는 것이 보다 정확하게 적용할 수 있을 것이다.

🤔 의문점 :

없음

 

 

참고

https://ocsusu.tistory.com/59

https://eun2jong.com/168

https://erulabo.com/43

https://velog.io/@gomil/Nginx-SSL-적용-With-Chain-인증서