SSL 인증서 에러(No subject alternative DNS name matching)

 

한줄 정리: 와일드카드 인증서가 아니라 단일 인증서를 발급하고 다른 호스트.도메인으로 사용해서 발생하는 것이다.

 

내부에서 외부PG사로 Sync를 했을 때 아래와 같이 에러가 발생한다.

INFO [16:43:19] [1.2.3.4] getOrderInfo(227) http Sync : https://woni.woni.com/mileage/Sync
DEBUG [16:43:19] [1.2.3.4] getOrderInfo(247) Sync URL : https://woni.woni.com/mileage/*****Sync
ERROR [16:43:19] [1.2.3.4] httpConnection(102) httpConnection Exception : java.security.cert.CertificateException: No subject alternative DNS name matching woni.woni.com found.
ERROR [16:43:19] [1.2.3.4] getOrderInfo(251) [FATAL] SYNC Error : java.security.cert.CertificateException: No subject alternative DNS name matching woni.woni.com found.

URL에 보면 HTTPS로 외부 PG사로 요청했을 때 발생했고 DNS matching이 안되는 것으로 봐서 인증서 부분의 문제라는걸 확인했다.
인증서 발급자체를 WhildCard인증서(*.woni.com)이 아닌 www.woni.com(단일도메인인증서)로 인증서를 받아서 다른 호스트에 적용시켰기 때문에 발생하는 것이다.

.

예를들면,
www.woni.com 를 인증서를 발급받았는데 apache또는 nginx에서 도메인을 woni.woni.com에다가 단일 인증서를 적용하면 문제가 발생한다고 보면 될 것 같다.

아래 openssl 로 인증부분을 확인했을 때 depth=0 에보면 체인인증서에 와일드카드로 보여진다.

C:\Users\jungj>openssl s_client -connect woni.tistory.com:443
Connecting to <마스킹>
CONNECTED(000002C8)
depth=2 C=US, O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert Global Root G2
verify error:num=19:self-signed certificate in certificate chain
verify return:1
depth=2 C=US, O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert Global Root G2
verify return:1
depth=1 C=US, O=DigiCert Inc, OU=www.digicert.com, CN=Thawte TLS RSA CA G1
verify return:1
depth=0 C=KR, ST=Seoul, L=Mapo-gu, O=<마스킹> Inc, CN=*.<마스킹>.com
verify return:1

 

만약 여기서 와일드카드가 아닌, 

www. 로 보여지면 단일인증서를 의심해봐야한다.

단일 인증서는 말그대로 딱 그 호스트만 사용가능하다.

 

끝.