MID 서버 인증서 검사 정책
MID 서버는 네 가지 종류의 보안 검사를 사용하여 외부 트래픽을 보호합니다. 보안 검사에서는 TLS/SSL 인증서 확인, 호스트 이름 확인, 인증서 해지 목록(CRL) 및 온라인 인증서 상태 프로토콜(OCSP) 확인을 사용하여 보안을 개선합니다. MID 서버 인증서 검사 정책 테이블을 사용하여 이러한 보안 검사를 제어합니다.
TLS/SSL 인증서 확인
TLS/SSL 암호화 보안은 공개 키 암호화라고도 하는 비대칭 암호화를 사용합니다. 이 암호화는 공개 키와 개인 키라는 두 가지 암호화 키를 사용합니다. 공개 키는 데이터 암호화에 사용되며 공개적으로 표시됩니다. 개인 키는 데이터 암호 해독에 사용되며 그 보안은 진위 여부를 확인하는 데 필수적입니다. 네트워크 준비에 대한 자세한 내용은 다음을 참조하십시오. MID 서버 TLS/SSL 인증서 검사 정책 Quebec 업그레이드 정보 [KB0867397].
TLS/SSL 인증서 확인에서 MID 서버는 TLS 또는 SSL 인증서로 보호되는 웹 서버에 연결을 시도합니다. 웹 서버는 TLS/SSL 인증서의 복사본을 MID 서버로 보냅니다. MID 서버는 인증서의 진위 여부를 확인하고 웹 서버로 메시지를 보냅니다. 웹 서버는 TLS/SSL 암호화 세션 시작에 대한 디지털 서명된 수락으로 응답합니다. 그 후 MID 서버는 웹 서버와의 암호화된 통신을 시작할 수 있습니다.
호스트 이름 확인
호스트 이름 검증은 클라이언트가 올바른 서버와 통신하고 있는지 확인하기 위해 서버 ID 검사를 포함하는 HTTPS의 일부입니다. 이 검사는 중간자 공격에 의해 리디렉션된 후 서버로 정보를 보내는 것을 방지합니다.
이 검사에는 서버에서 보낸 인증서의 dnsName 이 요청하는 데 사용된 URL과 일치하는지 확인하는 작업이 포함됩니다. RFC 6125에 따르면 인증서의 subjectAlternativeName의 dNSName 필드에 대해 호스트 이름 확인을 수행해야 합니다. 일부 레거시 구현에서는 인증서의 commonName 필드에 대해 검사가 수행됩니다. 이름이 일치하지 않으면 연결이 종료됩니다.
온라인 인증서 상태 프로토콜(OCSP)
OCSP에는 MID 서버가 대상 서버와 추가로 통신하기 전에 원격 인증 기관 서버에 접속하고 인증서를 확인하는 작업이 포함됩니다. 손상된 인증서는 특히 해당 인증서가 다른 인증서에 서명할 수 있는 기능이 있는 경우 보안 취약점이 될 수 있습니다. 인증서가 손상되거나 위조된 경우 인증 기관은 클라이언트에 유효하지 않아 사용해서는 안 되는 인증서를 알릴 수 있습니다.
OCSP 응답자(일반적으로 인증서 발급자가 실행하는 서버)는 인증서가 '양호', '해지됨' 또는 '알 수 없음'이라는 서명된 응답을 반환합니다. 요청을 처리할 수 없는 경우 오류 코드를 반환할 수 있습니다.
인증서 발급자는 OCSP 응답자가 되도록 다른 기관을 위임할 수 있습니다. 그러면 검증해야 하는 인증서 체인이 생성됩니다. 응답자의 인증서는 해당 인증서의 발급자가 발급해야 합니다. 응답자의 인증서에는 OCSP 서명 기관으로 표시하는 특정 확장명이 포함되어야 합니다.
인증서 해지 목록(CRL)
CRL 검사는 인증서 해지 상태를 확인하기 위해 OCSP의 대안을 제공합니다. MID 서버는 라이브 OCSP 응답자를 쿼리하는 대신 CA(인증 기관)에서 제공하는 URL에서 인증서 해지 목록(CRL)을 다운로드하고 캐시합니다. 그런 다음 MID 서버는 SSL/TLS 핸드셰이크 중에 로컬로 캐시된 CRL에 대한 인증서 해지 상태를 확인합니다. 인증서가 CRL에 나타나면 MID 서버는 연결을 거부하고 이벤트를 기록합니다.
CRL은 로컬에 캐시되고 CA의 업데이트 일정에 따라 주기적으로 업데이트됩니다. CRL 다운로드에 실패하면 시스템은 구성 가능한 재시도 정책에 따라 재시도합니다.
MID 서버 보안 정책
MID 서버 보안 정책은 MID 서버에서 시작되는 모든 HTTPS 트래픽을 제어합니다. 여기에는 MID 서버에서 인터넷 엔드포인트, ServiceNow URL, 인트라넷 엔드포인트 및 클라우드 엔드포인트로의 HTTPS 연결이 포함됩니다.
이러한 연결은 4가지 보안 정책으로 더 분류할 수 있습니다.
- ServiceNow 엔드포인트 정책
- 이 정책은 ServiceNow URL 전용 시스템 기본값입니다. MID 서버 config.xml에는 인스턴스에 처음 연결하는 데만 사용되며 system_default 정책으로 업데이트되는 부트스트랩 속성이 있습니다.
- 인터넷 정책
- 이러한 정책은 MID 서버에서 인터넷의 엔드포인트로 시작된 모든 HTTPS 연결에 적용됩니다.
- 인트라넷 정책
- 이러한 정책은 자체 호스팅 네트워크와 같은 예약된 IP 서브넷을 다룹니다.
- 재정의된 정책
- 이 정책 정의로 특정 엔드포인트 또는 URL을 재정의할 수 있습니다. 무효화된 정책은 작동 중 가장 높은 우선순위를 갖습니다.
두 테이블 모두 IP 범위를 포함하거나 제외하도록 편집할 수 있을 뿐만 아니라 수행해야 하는 인증서 확인 검사의 종류를 제어할 수 있습니다. 모든 인증서 확인 검사를 활성화하여 보안을 최대화합니다. Quebec 버전에는 새로 설치하는 경우 기본적으로 모든 정책과 검사가 켜져 있습니다.
자체 서명된 인증서를 호스팅하는 엔드포인트의 경우 인증서를 MID 서버 신뢰 저장소로 임포트하거나 해당 호스트의 유효성을 검사하는 정책 검사를 비활성화합니다. 인증서 추가에 대한 자세한 내용은 다음 문서를 참조하십시오 MID 서버용 SSL 인증서 추가.
Quebec으로 업그레이드한 후 인증서 검사 정책 테이블로 이동하여 필요한 경우 정책 구성을 변경합니다. MID 서버가 시작되어 인스턴스에 연결되면 MID 서버에서 시작되는 모든 후속 HTTPS 연결이 런타임에 이러한 인증서 검사를 적용하기 시작합니다. 안전하지 않은 연결은 적절한 오류 메시지와 함께 끊어집니다.
인스턴스 보안 정책 사용
MID 서버 구성 매개변수 mid.ssl.use.instance.security.policy 는 MID 서버가 인스턴스의 보안 정책이 아닌 부트스트랩 매개변수를 사용하는지 여부를 제어합니다. 기본적으로 mid.ssl.use.instance.security.policy 는 config.xml 에서 false로 설정되어 부트스트랩 정책이 인스턴스의 정책으로 덮어쓰여지지 않습니다.
이 기본 설정은 MID 서버 설정 중 발생하는 문제를 방지할 수 있습니다. 예를 들어 호스트가 OCSP 응답자에 연결할 수 없는 경우 OCSP 연결을 요구하는 인스턴스의 정책에 의해 새 MID 서버 설치가 중단되지 않습니다.
구성 매개 변수 mid.ssl.use.instance.security.policy 는 각 MID 서버에 대해 설정할 수 있습니다. true로 설정하면 MID 서버는 모든 정책을 인스턴스와 동기화하고 부트스트랩 구성 매개변수는 인스턴스 mid_cert_check_policy 테이블의 *.servicenow.com 정책에 의해 덮어쓰여집니다. 최종 정책은 MID 서버 메모리와 config.xml의 정책 맵을 업데이트합니다.
<parameter name="mid.ssl.bootstrap.default.check_cert_hostname" value="true"/><parameter name="mid.ssl.bootstrap.default.check_cert_chain" value="true"/><parameter name="mid.ssl.bootstrap.default.check_cert_revocation" value="false"/><parameter name="mid.ssl.use.instance.security.policy" value="false"/>
자체 호스팅 또는 온프레미스 인스턴스는 config.xml에 대해 다음 매개변수를 추가해야 합니다. <parameter name="mid.ssl.bootstrap.default.target_endpoint" value="FQDN_OF_THE_INSTANCE"/>