SSL/TLS

# Python TLS/SSL 설정 예제
import ssl
import requests
from urllib3.util.ssl_ import create_urllib3_context

# === requests 라이브러리 TLS 설정 ===

# 기본 HTTPS 요청 (시스템 CA 인증서 사용)
response = requests.get("https://api.example.com/v1/models")
print(f"TLS Version: {response.raw.version}")  # 사용된 TLS 버전

# 커스텀 CA 인증서 지정 (사내 PKI 사용 시)
response = requests.get(
    "https://internal-api.company.com",
    verify="/path/to/company-ca-bundle.crt"
)

# mTLS - 클라이언트 인증서 사용
response = requests.get(
    "https://secure-api.example.com/v1/data",
    cert=("/path/to/client.crt", "/path/to/client.key"),
    verify="/path/to/server-ca.crt"
)

# === ssl 모듈 직접 사용 (저수준 제어) ===

# TLS 1.3 강제, 약한 암호화 비활성화
context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
context.minimum_version = ssl.TLSVersion.TLSv1_2
context.maximum_version = ssl.TLSVersion.TLSv1_3

# 인증서 검증 필수
context.verify_mode = ssl.CERT_REQUIRED
context.check_hostname = True
context.load_verify_locations("/etc/ssl/certs/ca-certificates.crt")

# 연결 테스트
import socket
with socket.create_connection(("api.example.com", 443)) as sock:
    with context.wrap_socket(sock, server_hostname="api.example.com") as ssock:
        print(f"TLS Version: {ssock.version()}")
        print(f"Cipher: {ssock.cipher()}")
        cert = ssock.getpeercert()
        print(f"Server: {cert['subject']}")

# === FastAPI/Uvicorn TLS 서버 설정 ===
# uvicorn main:app --ssl-keyfile=./key.pem --ssl-certfile=./cert.pem

# === gRPC mTLS 설정 ===
import grpc

# 서버 측
server_credentials = grpc.ssl_server_credentials(
    [(open('server.key', 'rb').read(), open('server.crt', 'rb').read())],
    root_certificates=open('client-ca.crt', 'rb').read(),
    require_client_auth=True  # mTLS 활성화
)

# 클라이언트 측
channel_credentials = grpc.ssl_channel_credentials(
    root_certificates=open('server-ca.crt', 'rb').read(),
    private_key=open('client.key', 'rb').read(),
    certificate_chain=open('client.crt', 'rb').read()
)
channel = grpc.secure_channel('api.example.com:443', channel_credentials)

# OpenSSL CLI - TLS 디버깅 및 인증서 관리

# === TLS 연결 테스트 ===
# 서버 TLS 설정 확인
openssl s_client -connect api.example.com:443 -tls1_3

# 인증서 체인 전체 출력
openssl s_client -connect api.example.com:443 -showcerts

# SNI(Server Name Indication) 지정
openssl s_client -connect api.example.com:443 -servername api.example.com

# 지원 암호화 스위트 확인
openssl s_client -connect api.example.com:443 -cipher 'ECDHE+AESGCM'

# === 인증서 정보 확인 ===
# 원격 서버 인증서 만료일 확인
echo | openssl s_client -connect api.example.com:443 2>/dev/null | \
  openssl x509 -noout -dates

# 인증서 상세 정보
openssl x509 -in server.crt -text -noout

# 인증서와 개인키 일치 확인
openssl x509 -noout -modulus -in server.crt | openssl md5
openssl rsa -noout -modulus -in server.key | openssl md5
# 두 해시가 같아야 함

# === 자체 서명 인증서 생성 (개발용) ===
# 개인키 생성
openssl genrsa -out server.key 4096

# CSR(Certificate Signing Request) 생성
openssl req -new -key server.key -out server.csr \
  -subj "/CN=api.example.com/O=MyOrg/C=KR"

# 자체 서명 인증서 생성 (365일 유효)
openssl x509 -req -days 365 -in server.csr \
  -signkey server.key -out server.crt

# 한 줄로 키+인증서 생성
openssl req -x509 -newkey rsa:4096 -nodes -days 365 \
  -keyout server.key -out server.crt \
  -subj "/CN=localhost" \
  -addext "subjectAltName=DNS:localhost,IP:127.0.0.1"

# === Let's Encrypt 인증서 발급 (certbot) ===
# 설치
apt install certbot python3-certbot-nginx

# Nginx 자동 설정으로 발급
certbot --nginx -d api.example.com

# 인증서만 발급 (수동 설정)
certbot certonly --webroot -w /var/www/html -d api.example.com

# 갱신 테스트
certbot renew --dry-run

# 자동 갱신 (cron)
# 0 0 * * * certbot renew --quiet && systemctl reload nginx