CSR 디코더

디코더가 표시하는 내용

CSR은 세 개의 상위 구성 요소로 이루어진 ASN.1 구조(PKCS #10)입니다. 디코더는 여기서 두 가지를 읽습니다:

• 주체(subject): 요청된 식별 이름(Distinguished Name) 필드로, 보통 국가(C), 조직(O), 조직 단위(OU), 지역(L), 주(ST), 공통 이름(CN)입니다.
• 공개 키: 알고리즘(RSA, EC, DSA)과 비트 단위 키 크기입니다.

CSR 안의 서명은 제출자가 해당 사설 키를 보유하고 있음을 CA에 증명하는 역할을 합니다. 이 디코더는 서명을 표시하지 않으며, 검증은 CA가 요청을 처리할 때 수행합니다.

출력 예시

일반적인 도메인 인증서 요청의 경우 출력은 다음과 같습니다:

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

주체의 정확한 속성 이름은 요청 생성 방식에 따라 다릅니다.

확인용 필드

• 공통 이름(CN): 주요 호스트 이름이어야 합니다. 현대 브라우저는 CN를 무시하고 오직 SAN만을 확인하지만, 많은 인증기관(CA)은 여전히 유효한 CN을 요구합니다.
• 주체 대체 이름(SAN): 인증서가 보호할 모든 호스트 이름과 와일드카드를 나열합니다. 브라우저는 CN이 아닌 SAN을 기준으로 매칭합니다.
• 국가(C): 전체 이름이 아닌 2자리 ISO 코드(US, GB, DE). 공인 기관(CA)은 잘못된 코드를 거부합니다.
• 키 길이: RSA 2048은 최소 요구 길이이며, 보안 수준을 높이려면 3072 또는 4096을 사용할 수 있습니다. ECDSA P-256는 우수한 현대적 대안으로서 더 작은 인증서를 생성합니다.
• 서명 알고리즘: SHA-256 이상을 사용해야 합니다. SHA-1은 이미 오래전에 사용이 중단되었으며, 사용하지 않도록 권장됩니다.

주체 대체 이름(SAN)에 대하여

디코더는 요청의 주체를 표시하지만 SAN 확장은 표시하지 않습니다. 브라우저는 CN이 아닌 SAN을 기준으로 인증서를 매칭하므로, 인증서에 추가 호스트 이름이 필요하면 요청 생성 시 포함하세요. 예:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

디코더가 CSR을 구문 분석하지 못하는 경우

가장 흔한 원인은 잘렸거나 손상된 PEM 블록입니다:

• 텍스트가 잘린 경우: 두 마커를 포함한 전체 블록을 다시 붙여넣으세요.
• 줄 바꿈이 삽입된 경우: 생성된 그대로의 블록을 붙여넣으세요.
• 내용이 다른 경우: 실수로 공개 키, 인증서 또는 사설 키를 붙여넣으면 CSR로 구문 분석되지 않습니다.

일치하는 키 생성

CSR은 항상 사설 키와 함께 생성됩니다. 일반적인 명령어는 다음과 같습니다:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

또는 ECDSA의 경우:

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

개인 키를 철저히 보호해야 합니다. 개인 키가 유출될 경우 인증서는 반드시 취소되어야 합니다.