SSL Proxy용 Cipher Suites

지원되는 Cipher Suites

SSL 프록시는 클라이언트와 서버 간의 SSL 암호화 및 복호화를 수행하는 중개자 역할을 하지만 서버나 클라이언트 모두 해당 존재를 감지할 수 없습니다. SSL은 안전한 통신을 보장하기 위해 클라이언트 및 서버 인증을 위해 디지털 인증서와 프라이빗-퍼블릭 키 교환 쌍을 사용합니다.

이 섹션에서 참조할 모든 용어를 잘 알 수 있습니다.

• Digital Certificate or CA Certificate —디지털 인증서는 CA(Certificate Authority)로 알려진 신뢰할 수 있는 타사를 통해 신원을 검증하기 위한 전자적 수단입니다. 또는 자체 서명 인증서를 사용하여 ID를 증명할 수도 있습니다. 각 인증서에는 일반 텍스트를 암호화하거나 암호 해독을 위한 암호화 키가 포함되어 있습니다.

• Certificate Contents—디지털 인증서는 공용 키와 디지털 인증서를 발급하는 개별 엔터티의 ID를 연결합니다. 디지털 인증서에는 다음과 같은 신원 확인 속성이 포함됩니다.

  • 인증서를 발급한 인증 기관의 신원 확인 및 서명

  • 유효 기간

  • 일련번호

  • 인증서 발급자 세부 정보

  • 주체에 대한 정보에는 식별 정보(구분된 이름)와 공개 키가 포함됩니다.

• Cipher Suite—암호 세트는 일련의 암호화 알고리즘입니다. SSL 암호문은 암호화 암호, 인증 방법 및 압축으로 구성됩니다. SRX 시리즈 디바이스에서 SSL 세션은 암호화 알고리즘을 사용하여 클라이언트와 서버 간에 암호화 키를 교환하는 키 교환 방법을 사용합니다. 키 교환 알고리즘의 종류와 사용되는 암호 제품군은 양쪽에서 지원되어야 합니다.

  SSL 세션은 암호 모음에서 다음과 같은 알고리즘을 사용합니다.

  • 두 통신 당사자 간의 비밀 키를 안전하게 설정

  • 전송 중인 데이터의 기밀 유지 보호

표 1은 다양한 SRX 시리즈 디바이스에서 지원되는 RSA 키의 세부 정보를 제공합니다.

표 1: SRX 시리즈 디바이스에서 지원되는 최대 키 크기

SRX 시리즈 디바이스	지원되는 RSA 키 크기
SRX300, SRX320, SRX340, SRX345, SRX550, SRX1500, SRX4100, SRX4200, SRX4600, SRX5400, SRX5600, SRX5800	512비트, 1024비트, 2048비트, 4096비트

• Junos OS 릴리스 15.1X49-D30 및 Junos OS Release 17.3R1부터 키 크기 4096비트 서버 인증서가 지원됩니다. Junos OS 릴리스 15.1X49-D30 이전에는 암호화 하드웨어 제한으로 인해 키 크기가 2048비트보다 큰 서버 인증서가 지원되지 않았습니다.

• Junos OS 릴리스 18.1R1부터 SSL 프록시 지원은 SRX300 및 SRX320 장치에서 지원됩니다. SRX300 및 SRX320 디바이스에서는 4096비트 크기의 서버 증명서가 지원되지 않습니다.

표 2 에는 지원되는 암호 목록이 표시되어 있습니다. NULL 암호는 제외됩니다.

표 2: 지원되는 SSL 암호 목록

SSL 암호 키	교환 알고리즘	데이터 암호화	메시지 무결성	선호하는 암호 카테고리	초기 지원 릴리스
ECDHE-ECDSA-AES-256-GCM- SHA384	ECDHE/DSA 키 교환	256비트 AES/GCM	SHA384 해시	강한	Junos OS 릴리스 18.3R1
ECDHE-ECDSA-AES-128-GCM-SHA256	ECDHE/DSA 키 교환	128비트 AES/GCM	SHA256 해시	강한	Junos OS 릴리스 18.3R1
ECDHE-ECDSA-AES-256-CBC- SHA384	ECDHE/DSA 키 교환	256비트 AES/CBC	SHA384 해시	강한	Junos OS 릴리스 18.3R1
ECDHE-ECDSA-AES-128-CBC-SHA256	ECDHE/DSA 키 교환	128비트 AES/CBC	SHA256 해시	강한	Junos OS 릴리스 18.3R1
ECDHE-ECDSA-AES-256-CBC-SHA	ECDHE/DSA 키 교환	256비트 AES/CBC	SHA 해시	강한	Junos OS 릴리스 18.3R1
ECDHE-ECDSA-AES-128-CBC-SHA	ECDHE/DSA 키 교환	128비트 AES/CBC	SHA 해시	강한	Junos OS 릴리스 18.3R1
ECDHE-RSA-AES256-GCM-SHA384	ECDHE/RSA 키 교환	256비트 AES/GCM	SHA384 해시	강한	Junos OS 릴리스 15.1X49-D10
ECDHE-RSA-AES256-CBC-SHA384	ECDHE/RSA 키 교환	256비트 AES/CBC	SHA384 해시	강한	Junos OS 릴리스 15.1X49-D10
ECDHE-RSA-AES256-CBC-SHA	ECDHE/RSA 키 교환	256비트 AES/CBC	SHA 해시	강한	Junos OS 릴리스 15.1X49-D10
ECDHE-RSA-AES128-GCM-SHA256	ECDHE/RSA 키 교환	128비트 AES/GCM	SHA256 해시	강한	Junos OS 릴리스 15.1X49-D10
ECDHE-RSA-AES128-CBC-SHA256	ECDHE/RSA 키 교환	128비트 AES/CBC	SHA256 해시	강한	Junos OS 릴리스 15.1X49-D10
ECDHE-RSA-AES128-CBC-SHA	ECDHE/RSA 키 교환	128비트 AES/CBC	SHA 해시	강한	Junos OS 릴리스 15.1X49-D10
RSA-AES256-GCM-SHA384	ECDHE/RSA 키 교환	256비트 AES/GCM	SHA384 해시	강한	Junos OS 릴리스 15.1X49-D10
RSA-AES256-CBC-SHA256	ECDHE/RSA 키 교환	256비트 AES/CBC	SHA256 해시	강한	Junos OS 릴리스 15.1X49-D10
RSA-AES128-GCM-SHA256	ECDHE/RSA 키 교환	128비트 AES/GCM	SHA256 해시	강한	Junos OS 릴리스 15.1X49-D10
RSA-AES128-CBC-SHA256	ECDHE/RSA 키 교환	128비트 AES/CBC	SHA256 해시	매체	Junos OS 릴리스 15.1X49-D10
RSA-AES128-CBC-SHA	RSA 키 교환	128비트 AES/CBC	SHA 해시	약한	Junos OS 릴리스 12.1
RSA-AES256-CBC-SHA	RSA 키 교환	256비트 AES/CBC	SHA 해시	약한	Junos OS 릴리스 12.1

Junos OS 릴리스 21.2R1부터 SRX 시리즈 디바이스에서 SSL 프록시는 TLS 버전 1.3을 지원하며 향상된 보안과 향상된 성능을 제공합니다. 표 3 은 TLS 1.3 지원 암호 목록을 표시합니다.

표 3: TLS 1.3 지원 암호 목록

TLS 암호 키	교환 알고리즘	데이터 암호화	메시지 무결성	초기 지원 릴리스
TLS_AES_256_GCM_SHA384	모든	256비트 AES/GCM	SHA384 해시	Junos OS 릴리스 21.2R1
TLS_AES_128_GCM_SHA256	모든	128비트 AES/GCM	SHA256 해시	Junos OS 릴리스 21.2R1
TLS_CHACHA20_POLY1305_SHA256	모든	256비트 CHACHA20_POLY1305	SHA256 해시	Junos OS 릴리스 21.2R1
TLS_AES_128_CCM_SHA256	모든	128비트 AES/CCM	SHA256 해시	Junos OS 릴리스 21.2R1
TLS_AES_128_CCM_8_SHA256	모든	128비트 AES/CCM	SHA256 해시	Junos OS 릴리스 21.2R1

Junos OS 릴리스 18.4R1부터 맞춤형 암호의 일부 암호에 대한 지원은 사용되지 않습니다. 표 4 는 사용되지 않은 암호 목록을 제공합니다.

표 4: 감가상각된 암호 목록

SSL 암호 키	교환 알고리즘	데이터 암호화	메시지 무결성	선호하는 암호 카테고리	초기 지원 릴리스
ECDHE-ECDSA-3DES-EDE-CBC-SHA	ECDHE/DSA 키 교환	3DES EDE/CBC	SHA 해시	강한	Junos OS 릴리스 18.3R1
ECDHE-RSA-DES-CBC3-SHA	ECDHE/RSA 키 교환	DES CBC	SHA 해시	매체	Junos OS 릴리스 15.1X49-D10
RSA-RC4-128-MD5	RSA 키 교환	128비트 RC4	MD5(Message Digest 5) 해시	매체	Junos OS 릴리스 12.1
RSA-RC4-128-SHA	RSA 키 교환	128비트 RC4	SHA(Secure Hash Algorithm) 해시	매체	Junos OS 릴리스 12.1
RSA-EXPORT-1024-RC4-56-MD5	RSA 1024비트 내보내기	56비트 RC4	MD5 해시	약한	Junos OS 릴리스 12.1
RSA-EXPORT-1024-RC4-56-SHA	RSA 1024비트 내보내기	56비트 RC4	SHA 해시	약한	Junos OS 릴리스 12.1
RSA-EXPORT-RC4-40-MD5	RSA 수출	40비트 RC4	MD5 해시	약한	Junos OS 릴리스 12.1
RSA-EXPORT-DES40-CBC-SHA	RSA 수출	40비트 DES/CBC	SHA 해시	약한	Junos OS 릴리스 12.1
RSA-EXPORT-1024-DES-CBC-SHA	RSA 1024비트 내보내기	DES/CBC	SHA 해시	약한	Junos OS 릴리스 12.1
RSA-3DES-EDE-CBC-SHA	RSA 키 교환	3DES EDE/CBC	SHA 해시	약한	Junos OS 릴리스 12.1
RSA-DES-CBC-SHA	RSA 키 교환	DES CBC	SHA 해시	약한	Junos OS 릴리스 12.1

다음 사항을 유의하십시오.

• HTTPS 방화벽 인증을 위한 지원되는 SSL 암호는 RSA-3DES-EDE-CBC-SHA, RSA-AES-128-CBC-SHA 및 RSA-AES-256-CBC-SHA입니다.

• 제목에 "수출"이 있는 암호 제품군은 미국 이외의 지역에서 사용하기 위한 것이며 키 크기가 제한된 암호화 알고리즘을 사용할 수 있습니다. 기본적으로 암호 내보내기(Export ciphers)는 실행되지 않습니다. 국내 패키지를 활성화하거나 설치하기 위해 내보내기 암호(export ciphers)를 구성해야 합니다.

• ECDHE 기반 암호 정장은 SSL 프록시의 완벽한 포워딩(forward secrecy) 기능을 지원합니다.

  PFS(Perfect Forward Secrecy)는 인터넷을 통해 전송되는 모든 트랜잭션이 안전하게 보호되도록 보장하는 특정 주요 계약 프로토콜입니다. PFS(Perfect Forward Secrecy)는 사용자가 시작한 모든 세션에 대해 고유의 세션 키를 생성합니다. 따라서 단일 세션 키의 성능 저하가 특정 키로 보호되는 특정 세션에서 교환된 데이터 이외에는 데이터에 영향을 미치지 않습니다.

SSL Proxy용 Cipher Suites 구성

SSL 프록시 프로필 구성에서 다음 옵션을 사용하여 암호 제품군을 설정할 수 있습니다.

• 선호하는 암호—선호되는 암호는 강력한 키 강도, 중성 또는 약성(strong, medium 또는 weak)을 가진 SSL 암호의 정의가 가능합니다.

  세 가지 범주 중 하나를 사용하지 않으려는 경우 각 범주에서 암호 모음을 선택하여 사용자 정의 암호 세트를 구성할 수 있습니다. 맞춤형 암호로 사용자 고유의 암호 목록을 정의할 수 있습니다. 맞춤형 암호화를 구성하려면 기본 설정 암호(preferred-ciphers)를 사용자 지정 암호로 설정해야 합니다. 예제:

• 맞춤형 암호—맞춤형 암호로 사용자 고유의 암호 목록을 정의할 수 있습니다. 예제:

  Junos OS 릴리스 21.2R1부터 다음과 같은 맞춤형 암호도 사용할 수 있습니다.

사용자 지정 암호로 SSL 프록시를 구성하려면 다음 단계를 수행합니다.

• 루트 CA 증명서를 생성하거나 신뢰할 수 있는 CA 증명서와 프라이빗 및 퍼블릭 키를 디바이스로 가져올 수 있습니다.

• SSL 프록시 프로파일 및 associate 루트 CA 인증서(루트 CA 또는 서버 인증서)를 생성합니다.

• SSL 프록시에서 기본 암호(preferred-cipher)를 사용자 정의 암호로 사용 및 맞춤형 암호 첨부

예제:

이 예에서는 사용자 지정 암호 생성 방법을 보여줍니다. 이 예 preferred-cipher 에서는 맞춤 설정하여 암호 목록(ecdhe-ecdsa-with-aes-256-cbc-sha384 및 ecdhe-ecdsa-with-aes-128-cbc-sha256)을 추가합니다.

또는

SSL 프록시 프로파일을 구성하고 SSL 프록시 프로파일을 보안 정책에 적용하는 것으로 진행합니다.

SSL 프록시를 위한 ECDSA Cipher Suite 지원

Junos OS 릴리스 18.3R1부터 SRX 시리즈 디바이스는 SSL 프록시용 ECDSA 암호 제품군을 지원합니다. ECDSA는 DSA(Digital Signature Algorithm)의 버전으로 ECC(Elliptic-curve cryptography)를 기반으로 합니다. 보안 디바이스에서 ECDSA 암호 체계를 사용하려면 다음을 확인해야 합니다.

• 장비에 ECC 지원 공용 키가 포함된 인증서를 포함합니다. ECC(Elliptic Curve Cryptography) 인증서의 지원은 Elliptic Prime Curve 256비트(P-256)에서만 사용할 수 있습니다.

• 루트 CA에 대한 ECDSA 인증서 옵션을 포함합니다. 각 RSA 인증서 1개와 ECDSA 인증서 1개씩을 포함할 수 있습니다. ECC 및 RSA 인증서를 모두 보유하면 클라이언트 및 서버 디바이스의 호환성에 따라 ECC 기반 키 교환 또는 RSA 기반 키 교환을 수행할 수 있습니다.

• 리버스 프록시의 경우 서버 증명서에 ECDSA 인증서를 포함합니다. ECDSA 또는 RSA 인증서 포함 개수에 대한 제한이 없습니다.

• 신뢰할 수 있는 CA 인증서는 RSA 기반 인증서 및 ECDSA 기반 인증서가 될 수 있습니다. 인증서 캐시, CRL(Certificate Revocation list), 인증서 체인과 같은 RSA 기반 인증서에서 지원되는 모든 기능은 ECDSA 인증서에서 지원됩니다.

SRX300 및 SRX320에서 키 사이즈 4096 비트의 서버 인증서 구성

Junos OS 릴리스 19.4R1부터 SRX300 및 SRX320 장치는 키 크기 4096비트의 RSA 인증서를 지원합니다. 이 지원은 SRX300 및 SRX320 디바이스가 독립형 모드로 작동하는 경우에만 사용할 수 있습니다.

키 크기 4096비트의 서버 증명서를 사용하려면 SRX300 및 SRX320 장비에서 SSL 프록시 프로필을 명시적으로 구성해야 합니다. 예제:

SSL 포워드 프록시 프로필

SSL 리버스 프록시 프로파일