네이버페이 SHA1/RSA 암호 알고리즘 제거
안녕하세요.
네이버 페이에서 9월8일까지아래 암호 알고리즘을 사용을 서버에서 삭제하라고 합니다.
네이버 페이에서 9월8일까지아래 암호 알고리즘을 사용을 서버에서 삭제하라고 합니다.
- SHA1 기반 암호 알고리즘 (예: TLS_RSA_WITH_...SHA)
- RSA Key Exchange 방식 암호 알고리즘
httpd.conf 파일에서 설정을 바꿔주면 되는거 같은데 구체적으로 어떤 항목을 비활성화 해야 할까요?
답변 2개
lakil
2026-08-26 (수) 18:27:28
안내문의 "RSA 제거"는 보통 RSA 인증서 자체가 아니라 TLS_RSA_*처럼 RSA로 키를 교환하는 암호군(kRSA)을 제거하라는 뜻입니다. ECDHE-RSA-AES128-GCM-SHA256의 RSA는 서버 인증이고 키 교환은 ECDHE이므로 금지 대상인 RSA 키교환과 다릅니다.
Apache의 실제 443 가상호스트 설정에서 TLS 1.2 암호군을 ECDHE+AEAD 위주로 제한할 수 있습니다.
TLS 1.3은 OpenSSL 1.1.1 이상 환경인지 먼저 확인하고 apachectl -t로 설정 문법을 검사한 뒤 reload하세요. 적용 후 ECDHE 암호군은 연결되고 AES128-SHA 같은 RSA 키교환/SHA1 계열은 실패하는지 openssl s_client로 확인해야 합니다.
CDN·로드밸런서·WAF가 HTTPS를 종료한다면 Apache가 아니라 앞단의 TLS 정책을 바꿔야 외부 검사 결과가 달라집니다.
Apache 공식 문서: https://httpd.apache.org/docs/2.4/mod/mod_ssl.html#sslciphersuite
OpenSSL 분류: https://docs.openssl.org/3.5/man1/openssl-ciphers/
Apache의 실제 443 가상호스트 설정에서 TLS 1.2 암호군을 ECDHE+AEAD 위주로 제한할 수 있습니다.
Copy
SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder onTLS 1.3은 OpenSSL 1.1.1 이상 환경인지 먼저 확인하고 apachectl -t로 설정 문법을 검사한 뒤 reload하세요. 적용 후 ECDHE 암호군은 연결되고 AES128-SHA 같은 RSA 키교환/SHA1 계열은 실패하는지 openssl s_client로 확인해야 합니다.
CDN·로드밸런서·WAF가 HTTPS를 종료한다면 Apache가 아니라 앞단의 TLS 정책을 바꿔야 외부 검사 결과가 달라집니다.
Apache 공식 문서: https://httpd.apache.org/docs/2.4/mod/mod_ssl.html#sslciphersuite
OpenSSL 분류: https://docs.openssl.org/3.5/man1/openssl-ciphers/
2026-08-23 (일) 11:39:13
SSLCipherSuite 에서 AES128-SHA 옵션은 모두 제거 하고
아래처럼 ECDHE 기반으로 변경후 아파치 재시작 해보세요
SSLCipherSuite TLSv1.2 ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256
답변을 작성하려면 로그인이 필요합니다.