HTTPS

# Nginx TLS 1.3 최적 설정 (2025 베스트 프랙티스)
# /etc/nginx/conf.d/ssl.conf

server {
    listen 80;
    server_name example.com www.example.com;

    # HTTP를 HTTPS로 301 리다이렉트
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.com www.example.com;

    # 인증서 경로 (Let's Encrypt)
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # TLS 버전 - TLS 1.2, 1.3만 허용 (TLS 1.0, 1.1 비활성화)
    ssl_protocols TLSv1.2 TLSv1.3;

    # 암호 스위트 - TLS 1.3은 자동, TLS 1.2는 명시
    ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;  # TLS 1.3에서는 클라이언트 우선

    # 세션 캐싱 (성능 향상)
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;  # Perfect Forward Secrecy 보장

    # OCSP Stapling (인증서 검증 속도 향상)
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;

    # 보안 헤더
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    # DH 파라미터 (2048비트 이상)
    ssl_dhparam /etc/nginx/ssl/dhparam.pem;

    # 키 크기: RSA 2048비트 또는 ECDSA P-256 이상
    # ECDSA 권장 (더 작은 키로 동등한 보안, 더 빠른 핸드셰이크)

    location / {
        root /var/www/html;
        index index.html;
    }
}

# DH 파라미터 생성: openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048
# 테스트: https://www.ssllabs.com/ssltest/

# Python에서 HTTPS 요청 및 인증서 검증
import requests
import ssl
import urllib3
from requests.adapters import HTTPAdapter
from urllib3.util.ssl_ import create_urllib3_context

# 기본 HTTPS 요청 (인증서 자동 검증)
response = requests.get('https://api.example.com/data')
print(f"Status: {response.status_code}")
print(f"TLS Version: {response.raw.version}")

# 커스텀 TLS 설정 어댑터
class TLS13Adapter(HTTPAdapter):
    """TLS 1.3 전용 어댑터"""

    def init_poolmanager(self, *args, **kwargs):
        ctx = create_urllib3_context()
        # TLS 1.3만 허용 (최고 보안)
        ctx.minimum_version = ssl.TLSVersion.TLSv1_3
        # 안전한 암호 스위트
        ctx.set_ciphers('TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256')
        kwargs['ssl_context'] = ctx
        return super().init_poolmanager(*args, **kwargs)

# TLS 1.3 전용 세션 사용
session = requests.Session()
session.mount('https://', TLS13Adapter())

try:
    response = session.get('https://api.example.com/secure')
    print("TLS 1.3 connection successful")
except requests.exceptions.SSLError as e:
    print(f"TLS Error: {e}")

# 인증서 핀닝 (Certificate Pinning)
# 특정 인증서의 공개키 해시를 검증
EXPECTED_CERT_HASH = "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA="

def verify_certificate_pin(host, port=443):
    """인증서 핀 검증"""
    import hashlib
    import socket

    context = ssl.create_default_context()
    with socket.create_connection((host, port)) as sock:
        with context.wrap_socket(sock, server_hostname=host) as ssock:
            cert_der = ssock.getpeercert(binary_form=True)
            cert_hash = hashlib.sha256(cert_der).digest()
            cert_pin = f"sha256/{cert_hash.hex()}"

            if cert_pin != EXPECTED_CERT_HASH:
                raise ssl.SSLError(f"Certificate pin mismatch: {cert_pin}")

            print(f"Certificate verified: {cert_pin}")
            return True

# 주의: 자체 서명 인증서 허용은 보안 위험!
# requests.get(url, verify=False)  # 절대 프로덕션에서 사용 금지!