[Network] curl에서 --ssl-no-revoke 옵션에 대해..

💣 상황

오브젝트 스토리지에서 로컬 연동해서 뭐 좀 테스트를 할게 있었는데,,, 방화벽이 안 열려 있어선지

Timeout이 발생했다. 그래서 현업분께 방화벽 신청 요청을 드리고 한 번 확인해보라고 해서 확인을 하는 중에

curl -v [domain]

 

이 명령어를 입력했는데,

schannel: disabled automatic use of client certificate
...
CRYPT_E_REVOCATION_OFFLINE
...

 

이런 오류가 나왔다.

 

근데?

curl --ssl-no-revoke -v [도메인]

 

--ssl-no-revoke 옵션을 붙여서 하니 정상적으로 응답은 받긴 했다.

 

항상 curl을 쓰면 -v 이것만 쓰다 보니 다른 옵션에 대한 것도 알아두면 좋을 것 같아서 정리를 해본다.

---

❓위에서 난 오류 해석

Linux에서 curl → 보통 OpenSSL 사용

• 배포판 설정에 따라 다름
• 해지 확인을 기본으로 하지 않는 경우도 많음

Windows 기본 curl → 보통 Schannel 사용

특징

• TLS 연결 시, 기본적으로 인증서 해지 확인 수행
• 실패하면 verbose에 자세히 출력
• 경우에 따라 연결 자체 실패 처리

그럼 왜 인증서 해지 확인을 할까?

→ 서버 인증서가 원래는 정상 발급됐지만, 어떠한 이유로 폐기됐는지 확인이 필요

 

예를 들어, 개인키 유출, 서버 해킹 등  다양한 이슈로 인해 CA가 발급해준 인증서를 폐기 처리.

 

그래서 Client에서 HTTPS 연결 시,

1. 인증서가 CA가 서명한 정상 인증서인지 확인

2. 기간 만료 안됐는지

3. 도메인 일치 여부

4. 폐기된 인증서 여부

를 확인.

 

폐기 확인 방식

1. CRL(Certificate Revocation List)

→ 인증기관이 "폐기된 인증서 목록" 파일을 주기적으로 제공.

     클라이언트가 그 리스트를 다운로드 해서 확인.

2. OCSP (Online Certificate Status Protocol

→ 클라이언트가 실시간으로 "이 인증서 아직 유용해?" 질문하는 방식.

 

여기서 문제는

폐쇄망, 사내망, 프록시 환경에서는 인증서 자체는 보이는데, 폐기 여부를 확인할 서버 및 방법이 없어서

CRYPT_E_REVOCATION_OFFLINE 오류가 발생한 것.

---

👉 --ssl-no-revoke 란?

→ 인증서 해지 여부(CRL/OCSP) 확인 X

 

그래서 위에 옵션을 추가해서 사용하면

• 인증서 서명 정상 여부
• CA 신뢰 여부
• 만료여부
• 도메인 일치 여부

에 대해서는 계속 검증