NGINX를 Kyber 지원하게 컴파일 성공하신분 계시나요?

검색 목록

쓰기

NGINX를 Kyber 지원하게 컴파일 성공하신분 계시나요?

2023-10

2023-10-14 15:24:49

조회 1545 추천 0

성공할 사용한 본체랑 TLS 라1060;브러리1032; 1333;류0143; 버1204;, 특별Ȣ16;,172; 소스 수1221;Ȣ16;,144;나 컴파1068; Ꮢ1;션 1480;야한다면 해Ǌ17; ǥ12;ǥ16;1012; 1328; 알/140;1452;세요

Chrome Stable도 X25519Kyber768Draft00를 1648;원Ȣ16;ǉ16;,163;보고 현1228; 운영1473;1064; 서버에 추가해볼/140;니 ኧ1;시간 컴파1068; 다 실패Ȣ16;고 1080;습니다 (다른 0169;식1008; 아1649; 1648;원 안.104;고, Kyber Hybrid만 1648;원.121;니다)

Chrome://flags에서 수1221;후 1116;실행Ȣ16;고, 1060;0120; 도1077;.108; 서버에 1217;속해보면 개0156;1088; 도구 Security에 1228;대/196; 1201;용.104;었다고 뜹니다

Wold, Libre, Boring1008; 물른1060;고, 심1648;Ǻ12;ǉ16; OpenSSL1032; 패치 버1204;1064; https://github.com/open-quantum-safe/openssl 1312;차 컴파1068; 실패Ȣ16;네요

사용한 NGINX1032; 버1204;1008; Mainline1064; 1.25.21077;니다

보안1012; 위해 매번 소스 수ᇼ1;1004;/196; 패치(1089;ᇼ1;에ǉ16; 영향 안 1452;ǉ16; 문1088;열 수1221;)Ȣ16;고, 모듈까1648; 추가해서 컴파1068;해서 Ǹ16;다보니 유포.104;ǉ16; 0148;1060;너리/196;ǉ16; 해Ǌ17;1060; 없Ǻ12;서 1649;1217; 컴파1068;해야 합니다

OpenSSL처/100; 위1109;Ȣ16;기 위해 심벌릭 링크0143; 파1068; 복사Ȣ16;,144;나, 아에 Make파1068;1012; 수1221;Ȣ16;,144;나, 컴파1068;러 Ꮢ1;션1004;/196; 라1060;브러리 ᅆ1;/196; 1648;1221;Ȣ16;,144;나 해봐도 또 다른 에러에 시달릴1104;1060;네요

심1648;Ǻ12;ǉ16; Docker 생성할ǐ12; Ǹ16;ǉ16; 파1068;1012; 참1312;해서 ᇼ1;1068;한 0169;식1004;/196; 1652;행해봐도 에러 나네요

목표ǉ16; 호환성 문1228;를 피Ȣ16;기 위해 시스템1032; TLS 라1060;브러리ǉ16; 손.104;1648; 않고, NGINX1032; 0148;1060;너리에 Kyber를 1648;원Ȣ16;ǉ16; TLS 라1060;브러리를 Ȣ16;드코딩해서 1089;ᇼ1;시Ȗ12;ǉ16;,161;니다

추신 1 :

https://test.openquantumsafe.org

https://github.com/open-quantum-safe/oqs-provider/blob/main/oqs-template/oqs-kem-info.md

https://github.com/open-quantum-safe/oqs-provider

를 보시면 다른 Ȗ12; 교환 0169;식1060;나 ǹ16;호화 0169;식도 연구ǉ16; .104;고 1080;ǉ16;데, 아1649;까1648; 도1077;.108;,148; Kyber0150;에 없Ǻ12;보1077;니다

추신 2 : 1201;용Ȣ16;실/140;면 NGINX1032; conf를 수1221;해서 ssl_ecdh_curve1032; 1236; 앞에 X25519Kyber768Draft00를 붙1060;면 -149;1077;니다 (0120;1648;원 버1204;1004;/196; Ȣ16;면 에러나니 Ȣ16;1648;마세요)

맨날 삽질만 하고 삽니다

http://www.2cpu.co.kr/hardware_2014/44147
컴 케이스 작다고 불타거나 하지 않아요

짧은글 일수록 신중하게.



gnatsflame 2023-10 아래와 같이 해결하시면 될 듯 합니다... 1. nginx 디렉토리 내에서 boringssl clone 진행 mkdir lib && git clone https://github.com/google/boringssl lib/boringssl 2. boringssl 빌드 cd lib/boringssl && \ mkdir build && \ cd build && \ cmake .. && \ make -> 패키지는 cmake, golang, gcc-c++, libunwind-dev 등등 필요. -> make 할 때 오류나는 것들에 대해 의존성 해결 3. nginx 에서 configure 옵션 추가 (--with-openssl 옵션은 필요 없습니다.) cd ../../.. auto/configure \ --with-cc-opt="-I./lib/boringssl/include" \ --with-ld-opt="-L./lib/boringssl/build/ssl -L./lib/boringssl/build/crypto" \ ... (기타 옵션 - with-http_ssl_module 등등) 4. 빌드가 완료되면 nginx 디렉토리로 복귀 후 빌드 5. X25519Kyber768Draft00 테스트 cd lib/boringssl/build ./bssl s_client -connect [domain] -server-name [domain] -curves X25519Kyber768Draft00 (Connected. 가 뜨면 성공) 아래와 같이 해결하시면 될 듯 합니다... 1. nginx 디렉토리 내에서 boringssl clone 진행 mkdir lib && git clone https://github.com/google/boringssl lib/boringssl 2. boringssl 빌드 cd lib/boringssl && \ mkdir build && \ cd build && \ cmake .. && \ make -> 패키지는 cmake, golang, gcc-c++, libunwind-dev 등등 필요. -> make 할 때 오류나는 것들에 대해 의존성 해결 3. nginx 에서 configure 옵션 추가 (--with-openssl 옵션은 필요 없습니다.) cd ../../.. auto/configure \ --with-cc-opt="-I./lib/boringssl/include" \ --with-ld-opt="-L./lib/boringssl/build/ssl -L./lib/boringssl/build/crypto" \ ... (기타 옵션 - with-http_ssl_module 등등) 4. 빌드가 완료되면 nginx 디렉토리로 복귀 후 빌드 5. X25519Kyber768Draft00 테스트 cd lib/boringssl/build ./bssl s_client -connect [domain] -server-name [domain] -curves X25519Kyber768Draft00 (Connected. 가 뜨면 성공)



dateno1 2023-10 도와주셔서 감사합니다 덕분에 1방에 성공했네요 openssl 지정 옵션을 제거하고 라이브러리등만 수동으로 지정해주니 넘어가네요 (system openssl 사용이라 뜨는거 막을려고 동시 사용도 시도해봤으니 역시 에러) 결국 원흉은 openssl 지정 옵션이었네요 일단 conf도 좀 만져서 일부 옵션 수정해야했습니다 먼저 X25519Kyber768Draft00를 지원하는 대신 X448을 지원하지 않네요 이외에 ssl_stapling도 미지원인지 경고 뜨네요 (에러가 아니니 넘어가긴 함) 이게 좀 웃기는게 클라로 접속할때는 OCSP stapling 지원하는데 (항목이 있음), 서버로는 지원 안 하는지 ssl_ocsp is not supported on this platform이라고 떠버리네요 도와주셔서 감사합니다 덕분에 1방에 성공했네요 openssl 지정 옵션을 제거하고 라이브러리등만 수동으로 지정해주니 넘어가네요 (system openssl 사용이라 뜨는거 막을려고 동시 사용도 시도해봤으니 역시 에러) 결국 원흉은 openssl 지정 옵션이었네요 일단 conf도 좀 만져서 일부 옵션 수정해야했습니다 먼저 X25519Kyber768Draft00를 지원하는 대신 X448을 지원하지 않네요 이외에 ssl_stapling도 미지원인지 경고 뜨네요 (에러가 아니니 넘어가긴 함) 이게 좀 웃기는게 클라로 접속할때는 OCSP stapling 지원하는데 (항목이 있음), 서버로는 지원 안 하는지 ssl_ocsp is not supported on this platform이라고 떠버리네요



gnatsflame 2023-10 정확히는 OCSP Stapling 을 지원하려면 다른 방식을 사용해야 합니다. 그리고 X448 보다는 X25519 사용이 사실상 권장되고 있어서 굳이 상관은 없습니다. -> 정확히는 Chrome 최신버전에서는 X448 을 지원하지 않고 X25519, P-256, P-384 만 지원합니다. OCSP Stapling 은 외국에서 이미 어느분이 만드신게 있으니 그것을 참고해보시면 될 듯 합니다. https://github.com/kn007/patch/issues/4 ocsp 파일을 받아와서 직접 아래와 같이 nginx 에서 설정하셔야 하구요.. https://stackoverflow.com/questions/56292411/how-to-verify-certificate-with-ocsp-using-openssl ssl_stapling_file xxx.ocsp; 정확히는 OCSP Stapling 을 지원하려면 다른 방식을 사용해야 합니다. 그리고 X448 보다는 X25519 사용이 사실상 권장되고 있어서 굳이 상관은 없습니다. -> 정확히는 Chrome 최신버전에서는 X448 을 지원하지 않고 X25519, P-256, P-384 만 지원합니다. OCSP Stapling 은 외국에서 이미 어느분이 만드신게 있으니 그것을 참고해보시면 될 듯 합니다. https://github.com/kn007/patch/issues/4 ocsp 파일을 받아와서 직접 아래와 같이 nginx 에서 설정하셔야 하구요.. https://stackoverflow.com/questions/56292411/how-to-verify-certificate-with-ocsp-using-openssl ssl_stapling_file xxx.ocsp;



dateno1 2023-10 덧글 달고 있는데 추가하셨네요 이미 https://github.com/kn007/patch/blob/master/Enable_BoringSSL_OCSP.patch 패치 먹였습니다 적용후 SSLlab 돌려보니 OCSP Stampling 된다고 나옵니다 좀 웃기는건 클라로 시험할때 항목은 있는데도 지원 안 되는지 여전히 해당 항목은 no라고 떠버리네요 (OpenSSL은 정상적으로 OCSP 결과 뽑아줍니다) 이미 OCSP 먹이는 상태에서 TLS 라이브러리만 바꾼거라 나머진 손 될 필요 없네요 (cron으로 자동 갱신되게 해놨습니다) OpenSSL 신기술 도입에 의외로 소극적이랄까 늦은편이라 이럴떈 좀 귀찮네요 X448 호환성땜에 상위에 넣어둔거지 사실 그거 안 써도 될만큼 서버 CPU 성능 썩어넘치는지라 상관없긴합니다 호환성따위 다 깡그러니 무시해버리면 SSLLab 100점 받는것도 일도 아닌데, 약간 구버전 클라까지 챙기다보니 일부 90점이네요 (100/100/90/90) 10에서 Trident로 웹뷰 구현하거나, 파일 다운 받을때나 구버전 Android 호환이 될정도로 하위 호환성을 보장하면서 HTTP/3같은 최신 기술까지 지원이 동시에 보장되는 변태 설정입니다 참고로 Kaspersky등의 일부 백신 쓰면 TLS 디코딩후 다시 인코딩하다보니 크룸에서 kyber 안 된다고 떠버리긴하네요 이거땜에 삽질하느라 주말에 한 4시간 꺤거같은데 덕분에 해결되었습니다 https://blog.dateno1.com/?p=6119 간단하게 게시물 작성해봤습니다 (삽질하느라 시간 낭비하는건 저 1명이면 충분합니다) 해당 게시물 필요하신분들은 마음대로 퍼가셔도 되고, 허가 안 받으셔도 되고, 수정하셔도 됩니다 (출처 표기조차 불필요) (다만 불필요한 스팸 유입 방지를 위해 링크 유포는 하지말아주세요) 덧글 달고 있는데 추가하셨네요 이미 https://github.com/kn007/patch/blob/master/Enable_BoringSSL_OCSP.patch 패치 먹였습니다 적용후 SSLlab 돌려보니 OCSP Stampling 된다고 나옵니다 좀 웃기는건 클라로 시험할때 항목은 있는데도 지원 안 되는지 여전히 해당 항목은 no라고 떠버리네요 (OpenSSL은 정상적으로 OCSP 결과 뽑아줍니다) 이미 OCSP 먹이는 상태에서 TLS 라이브러리만 바꾼거라 나머진 손 될 필요 없네요 (cron으로 자동 갱신되게 해놨습니다) OpenSSL 신기술 도입에 의외로 소극적이랄까 늦은편이라 이럴떈 좀 귀찮네요 X448 호환성땜에 상위에 넣어둔거지 사실 그거 안 써도 될만큼 서버 CPU 성능 썩어넘치는지라 상관없긴합니다 호환성따위 다 깡그러니 무시해버리면 SSLLab 100점 받는것도 일도 아닌데, 약간 구버전 클라까지 챙기다보니 일부 90점이네요 (100/100/90/90) 10에서 Trident로 웹뷰 구현하거나, 파일 다운 받을때나 구버전 Android 호환이 될정도로 하위 호환성을 보장하면서 HTTP/3같은 최신 기술까지 지원이 동시에 보장되는 변태 설정입니다 참고로 Kaspersky등의 일부 백신 쓰면 TLS 디코딩후 다시 인코딩하다보니 크룸에서 kyber 안 된다고 떠버리긴하네요 이거땜에 삽질하느라 주말에 한 4시간 꺤거같은데 덕분에 해결되었습니다 https://blog.dateno1.com/?p=6119 간단하게 게시물 작성해봤습니다 (삽질하느라 시간 낭비하는건 저 1명이면 충분합니다) 해당 게시물 필요하신분들은 마음대로 퍼가셔도 되고, 허가 안 받으셔도 되고, 수정하셔도 됩니다 (출처 표기조차 불필요) (다만 불필요한 스팸 유입 방지를 위해 링크 유포는 하지말아주세요)

로그인 하시면 댓글을 남길 수 있습니다

검색 목록

쓰기

QnA

쓰기

330/437

번호	제목Page 330/437	글쓴이	날짜	조회	추천
2150	Dell Precision T5810 CPU 쿨러 업그레이드 문의드립니다 (4)	오목눈이	2023-02	1807	0
Dell Precision T5810 CPU 쿨러 업그레이… (4) 2023-02 1807 1 오목눈이
2149	인코딩 (7)	미담	03-20	643	0
인코딩 (7) 03-20 643 1 미담
2148	알리에서 1tb ssd 인데 리뷰가 그나마 좋게적혀있어서 낚였습니다. (20)	굴렁쇠	2023-02	4933	0
알리에서 1tb ssd 인데 리뷰가 그나마 좋… (20) 2023-02 4933 1 굴렁쇠
2147	서버/워크 보드에 PCI슬롯이 있는 이유는 무엇인가요? (10)	전일장	03-19	683	0
서버/워크 보드에 PCI슬롯이 있는 이유는 … (10) 03-19 683 1 전일장
2146	연탄 맥(2013) 도 지금 사용하는데 많이 찾으시나요? (6)	hdsniper	2023-02	1615	0
연탄 맥(2013) 도 지금 사용하는데 많이 … (6) 2023-02 1615 1 hdsniper
2145	슈퍼마이크로 x11dhp-t 보드 ADAPTEC ASR-8805 호환 문의 (2)	김승훈	03-18	473	0
슈퍼마이크로 x11dhp-t 보드 ADAPTEC ASR-… (2) 03-18 473 1 김승훈
2144	서브넷 관련 궁금사항 (8)	수촌마을	2023-02	913	0
서브넷 관련 궁금사항 (8) 2023-02 913 1 수촌마을
2143	tx100s3p의 tpm 핀맵 알 수 있을까요? (2)	삐돌이슬픔이	03-16	623	0
tx100s3p의 tpm 핀맵 알 수 있을까요? (2) 03-16 623 1 삐돌이슬픔이
2142	서버 레이드 5 추가 구성 후 합치는 법 (6)	lenux8	2023-02	823	0
서버 레이드 5 추가 구성 후 합치는 법 (6) 2023-02 823 1 lenux8
2141	바이러스? (2)	미담	03-13	669	0
바이러스? (2) 03-13 669 1 미담
2140	hp dl360 gen8 (3)	lenux8	2023-02	1170	0
hp dl360 gen8 (3) 2023-02 1170 1 lenux8
2139	장터 이용관련 궁굼한게 있어서요? (3)	song05	03-12	756	0
장터 이용관련 궁굼한게 있어서요? (3) 03-12 756 1 song05
2138	RAID 마이그레이션 질문입니다 (9)	ketay	2023-02	1225	0
RAID 마이그레이션 질문입니다 (9) 2023-02 1225 1 ketay
2137	D1581 보드 가장 기본형보드 바이오스 기본설정값 (6)	twotheall	03-10	1052	0
D1581 보드 가장 기본형보드 바이오스 기… (6) 03-10 1052 1 twotheall
2136	전기 질문입니다 (10)	민사장	2023-02	1539	0
전기 질문입니다 (10) 2023-02 1539 1 민사장
2135	안녕하세요. vpn 오류가 계속 뜨네요,,, (1)	워드프레스	03-09	693	0
안녕하세요. vpn 오류가 계속 뜨네요,,, (1) 03-09 693 1 워드프레스
2134	어댑터/충전기 질문드립니다 (14)	AplPEC	2023-02	1229	0
어댑터/충전기 질문드립니다 (14) 2023-02 1229 1 AplPEC
2133	광컨버터에서 라우터로 직결이 가능할까요? (8)	전설의흑곰	03-07	890	0
광컨버터에서 라우터로 직결이 가능할까요? (8) 03-07 890 1 전설의흑곰
2132	소니rx100 카메라가 폰카에 비하여서 어떤장점이 있나요 (7)	slowcity	2023-02	808	0
소니rx100 카메라가 폰카에 비하여서 어떤… (7) 2023-02 808 1 slowcity
2131	인텔 하이브리드 코어를 쓴 CPU에서 가상머신이 잘 돌아가나요? (15)	이매망량2	03-05	954	0
인텔 하이브리드 코어를 쓴 CPU에서 가상… (15) 03-05 954 1 이매망량2