인증서 체인 수리 — SSL 번들 정렬과 보완

서버가 보내는 내용에 중간 인증서가 빠져 있기 때문입니다. 데스크톱 브라우저는 이를 가려 줍니다. 다른 사이트에서 본 중간 인증서를 캐시해 두고, 빠진 것은 인증서에 적힌 주소에서 내려받을 수도 있습니다. 안드로이드, curl, 자바, 파이썬, 대부분의 API 클라이언트는 둘 다 하지 않으므로 신뢰 루트에 닿지 못하는 체인을 보고 연결을 거부합니다. 체인을 여기에 붙여 넣어 보세요. 중간 인증서가 없다고 나오면 그것이 문제의 전부입니다.

먼저 서버 인증서, 그다음 그것을 발급한 중간 인증서, 그다음 그 발급자 순입니다. 루트는 넣지 않습니다. 일부 서버는 다른 순서도 받아들이지만 OpenSSL, 자바, 대부분의 로드밸런서는 그렇지 않으므로 안전한 답은 언제나 «최종 인증서가 먼저» 입니다.

아닙니다. 클라이언트가 루트를 신뢰하는 이유는 그것이 자기 저장소에 있기 때문이지 서버가 보내 줬기 때문이 아닙니다. 네트워크로 온 루트는 무시되고 핸드셰이크마다 1~2킬로바이트만 더할 뿐입니다. 해롭지는 않지만 의미도 없으며, 이 도구가 만드는 파일은 루트를 뺍니다.

인증 기관에서, 인증서를 받았던 바로 그 페이지에서 구합니다. Let's Encrypt 사용자는 보통 이 문제를 겪지 않습니다. certbot이 중간 인증서가 이미 포함된 fullchain.pem 을 만들어 주기 때문입니다. fullchain.pem 대신 cert.pem 을 설정해 두었다면 경로만 바꾸면 됩니다.

파일 안에 있으면서 거기 있는 어떤 것도 발급하지 않았고 거기 있는 어떤 것에서도 발급되지 않은 인증서입니다. 대개 예전 인증서의 잔재이거나, 다른 루트로 이어지는 체인 옆에 붙여 둔 루트입니다. 그 자체로 무언가를 망가뜨리지는 않지만, 파일을 손으로 조립했다는 뜻이니 정리해 두는 편이 좋습니다.