MID 서버 인증서 검사 정책
MID Server는 세 가지 종류의 보안 검사를 사용하여 외부 트래픽을 보호합니다. 보안 검사에서는 TLS/SSL 인증서 확인, 호스트 이름 확인 및 OCSP 확인을 사용하여 보안을 개선합니다. MID 서버 인증서 검사 정책 테이블을 사용하여 이러한 보안 검사를 제어합니다.
 |
TLS/SSL 인증서 확인
TLS/SSL 암호화 보안은 공개 키 암호화라고도 하는 비대칭 암호화를 사용합니다. 이 암호화는 공개 키와 개인 키라는 두 가지 암호화 키를 사용합니다. 공개 키는 데이터 암호화에 사용되며 공개적으로 표시됩니다. 개인 키는 데이터의 암호 해독에 사용되며 보안은 진위 여부를 확인하는 데 필수적입니다. 네트워크 준비에 대한 자세한 내용은 다음을 참조하십시오. MID 서버 TLS/SSL 인증서 검사 정책 Quebec 업그레이드 정보 [KB0867397].
TLS/SSL 인증서 확인에서 MID 서버는 TLS 또는 SSL 인증서로 보호되는 웹 서버에 연결을 시도합니다. 웹 서버는 TLS/SSL 인증서의 복사본을 MID 서버로 보냅니다. MID 서버는 인증서의 진위 여부를 확인하고 웹 서버에 메시지를 보냅니다. 웹 서버는 TLS/SSL 암호화 세션 시작에 대해 디지털 서명된 수락으로 응답합니다. 그 후 MID 서버는 웹 서버와 암호화된 통신을 시작할 수 있습니다.
호스트 이름 확인
호스트 이름 확인은 클라이언트가 올바른 서버와 통신하고 있는지 확인하기 위한 서버 ID 검사를 포함하는 HTTPS의 일부입니다. 이 검사는 중간자 공격에 의해 리디렉션된 후 서버로 정보를 보내지 못하게 합니다.
이 검사에는 서버에서 보낸 인증서의 dnsName 이 요청을 수행하는 데 사용된 URL과 일치하는지 확인하는 작업이 포함됩니다. RFC 6125에 따르면 인증서의 subjectAlternativeName의 dNSName 필드에 대해 호스트 이름 확인을 수행해야 합니다. 일부 레거시 구현에서는 인증서의 commonName 필드에 대해 검사가 수행됩니다. 이름이 일치하지 않으면 연결이 종료됩니다.
온라인 인증서 상태 프로토콜(OCSP)
OCSP에는 MID 서버가 대상 서버와 추가로 통신하기 전에 원격 인증 기관 서버에 연결하여 인증서를 확인하는 작업이 포함됩니다. 손상된 인증서는 특히 해당 인증서에 다른 인증서에 서명할 수 있는 경우 보안 취약점이 될 수 있습니다. 인증서가 손상되었거나 위조된 경우 인증 기관은 유효하지 않아 사용해서는 안 되는 인증서를 클라이언트에 알릴 수 있습니다.
OCSP 응답자(일반적으로 인증서 발급자가 실행하는 서버)는 인증서가 '양호', '해지됨' 또는 '알 수 없음'이라는 서명된 응답을 반환합니다. 요청을 처리할 수 없는 경우 오류 코드를 반환할 수 있습니다.
인증서 발급자는 다른 기관을 OCSP 응답자로 위임할 수 있습니다. 이렇게 하면 확인해야 하는 인증서 체인이 생성됩니다. 응답자의 인증서는 해당 인증서 발급자가 발급한 것이어야 합니다. 응답자의 인증서에는 OCSP 서명 기관으로 표시하는 특정 확장명이 포함되어야 합니다.
MID 서버 보안 정책
MID 서버 보안 정책은 MID 서버에서 시작되는 모든 HTTPS 트래픽을 제어합니다. 여기에는 MID 서버에서 인터넷 엔드포인트, ServiceNow URL, 인트라넷 엔드포인트 및 클라우드 엔드포인트로의 HTTPS 연결이 포함됩니다.
이러한 연결은 4가지 보안 정책으로 더 분류할 수 있습니다.
- ServiceNow 엔드포인트 정책
- 이 정책은 ServiceNow URL 전용 시스템 기본값입니다. MID 서버 config.xml에는 인스턴스에 처음 연결하는 데만 사용되고 system_default 정책으로 업데이트되는 부트스트랩 속성이 있습니다.
- 인터넷 정책
- 이러한 정책은 MID 서버에서 인터넷의 모든 엔드포인트로 시작된 모든 HTTPS 연결에 적용됩니다.
- 인트라넷 정책
- 이러한 정책은 자체 호스팅 네트워크와 같은 예약된 IP 서브넷을 다룹니다.
- 재정의된 정책
- 특정 엔드포인트 또는 URL을 이 정책 정의로 재정의할 수 있습니다. 무효화된 정책은 작업 중에 가장 높은 우선순위를 갖습니다.
두 테이블 모두 IP 범위를 포함하거나 제외하도록 편집할 수 있을 뿐만 아니라 수행해야 하는 인증서 유효성 검사 종류도 제어할 수 있습니다. 모든 인증서 유효성 검사를 사용하여 보안을 최대화합니다. Quebec 버전에는 새로 설치하는 경우 기본적으로 모든 정책과 검사가 켜져 있습니다.
자체 서명된 인증서를 호스팅하는 엔드포인트의 경우 인증서를 MID 서버 신뢰 저장소로 임포트하거나 해당 호스트를 확인하는 정책 검사를 비활성화합니다. 인증서 추가에 대한 자세한 내용은 다음 문서를 참조하십시오 MID 서버용 SSL 인증서 추가.
Quebec으로 업그레이드한 후 인증서 검사 정책 테이블로 이동하여 필요한 경우 정책 구성을 변경합니다. MID 서버가 시작되어 인스턴스에 연결되면 MID 서버에서 시작되는 모든 후속 HTTPS 연결이 런타임 시 이러한 인증서 검사를 적용하기 시작합니다. 안전하지 않은 연결은 적절한 오류 메시지와 함께 끊어집니다.
인스턴스 보안 정책 사용
MID 서버 구성 매개변수 mid.ssl.use.instance.security.policy 는 MID 서버가 인스턴스의 보안 정책이 아닌 부트스트랩 매개변수를 사용하는지 여부를 제어합니다. 기본적으로 mid.ssl.use.instance.security.policy 는 인스턴스에서 부트스트랩 정책을 덮어쓰지 않도록 config.xml 에서 false로 설정됩니다.
이 기본 설정을 통해 MID 서버 설정 중 일부 문제를 방지할 수 있습니다. 예를 들어 호스트가 OCSP 응답자에 연결할 수 없는 경우 새 MID 서버 설치는 OCSP 연결이 필요한 인스턴스의 정책에 의해 중단되지 않습니다.
구성 매개변수 mid.ssl.use.instance.security.policy 는 각 MID 서버에 대해 설정할 수 있습니다. true로 설정하면 MID 서버가 모든 정책을 인스턴스와 동기화하고 부트스트랩 구성 매개변수를 인스턴스 mid_cert_check_policy 테이블의 *.servicenow.com 정책에 덮어씁니다. 최종 정책은 MID Server 메모리와 config.xml의 정책 맵을 업데이트합니다.
<parameter name="mid.ssl.bootstrap.default.check_cert_hostname" value="true"/><parameter name="mid.ssl.bootstrap.default.check_cert_chain" value="true"/><parameter name="mid.ssl.bootstrap.default.check_cert_revocation" value="false"/><parameter name="mid.ssl.use.instance.security.policy" value="false"/>
자체 호스팅 또는 온프레미스 인스턴스는 config.xml에 대해 <parameter name="mid.ssl.bootstrap.default.target_endpoint" value="FQDN_OF_THE_INSTANCE"/> 매개변수를 추가해야 합니다.