시스템 관리_14 "SSL 인증서 갱신 후에도 'Certificate has expired' 오류가 발생하는 원인 및 신뢰 체인(Chain of Trust) 해결 가이드"

# 1. 실제 외부(또는 로컬) 포트에서 서빙 중인 인증서의 유효기간 및 체인 확인
$ openssl s_client -connect example.com:443 -servername example.com -showcerts < /dev/null 2>/dev/null | openssl x509 -noout -dates -subject -issuer
notBefore=Sep 28 00:00:00 2026 GMT
notAfter=Dec 27 23:59:59 2026 GMT
subject=CN = example.com
issuer=C = US, O = Let's Encrypt, CN = R3

# 2. 서버 전체 체인 검증 (만료된 중간 CA 또는 크로스 서명 CA가 체인에 포함되어 있는지 확인)
$ openssl s_client -connect example.com:443 -servername example.com < /dev/null
# Verify return code 출력 확인:
# -> verify error:num=10:certificate has expired (체인 상에 만료된 상위/크로스 서명 CA가 존재함)

# 3. 디스크에 저장된 인증서 파일과 실제 메모리에서 서비스 중인 인증서의 해시값 비교
$ openssl x509 -noout -fingerprint -sha256 -in /etc/letsencrypt/live/example.com/cert.pem
# 외부에서 직접 받아온 인증서 핑거프린트
$ echo | openssl s_client -connect 127.0.0.1:443 -servername example.com 2>/dev/null | openssl x509 -noout -fingerprint -sha256

# 4. 클라이언트(서버 로컬)의 자체 신뢰 저장소(CA-Bundle) 기준 검증
$ openssl verify -CApath /etc/ssl/certs /etc/letsencrypt/live/example.com/fullchain.pem

#!/bin/bash
# check_cert_chain.sh - Validate SSL Chain of Trust and expiration dates

TARGET_HOST=${1:-"localhost"}
TARGET_PORT=${2:-"443"}

echo "=========================================="
echo " [신뢰 체인 진단 시작] 대상: ${TARGET_HOST}:${TARGET_PORT}"
echo "=========================================="

TMP_CERTS_DIR=$(mktemp -d)
trap 'rm -rf "$TMP_CERTS_DIR"' EXIT

# 1. 원격지로부터 서빙 중인 전체 인증서 체인 추출
echo -e "\n[1] 웹 서버 제공 인증서 체인 다운로드..."
echo | openssl s_client -connect "${TARGET_HOST}:${TARGET_PORT}" -servername "${TARGET_HOST}" -showcerts 2>/dev/null > "${TMP_CERTS_DIR}/raw_chain.txt"

if ! grep -q "BEGIN CERTIFICATE" "${TMP_CERTS_DIR}/raw_chain.txt"; then
    echo "  [오류] 인증서 체인을 가져올 수 없습니다. 포트가 닫혀있거나 TLS 연결이 불가능합니다."
    exit 1
fi

# 2. 개별 인증서 블록 분리 후 각 단계 만료일 검사
awk 'BEGIN {c=0;} /BEGIN CERTIFICATE/ {c++} { print > ("'${TMP_CERTS_DIR}'/cert_" c ".crt") }' "${TMP_CERTS_DIR}/raw_chain.txt"

CURRENT_DATE_EPOCH=$(date +%s)
HAS_EXPIRED=false

echo -e "\n[2] 체인 단계별 유효 기간 및 발급자 검사:"
for cert_file in "${TMP_CERTS_DIR}"/cert_*.crt; do
    echo "----------------------------------------"
    SUBJECT=$(openssl x509 -in "$cert_file" -noout -subject | sed 's/subject=//')
    ISSUER=$(openssl x509 -in "$cert_file" -noout -issuer | sed 's/issuer=//')
    END_DATE_STR=$(openssl x509 -in "$cert_file" -noout -enddate | cut -d= -f2)
    END_DATE_EPOCH=$(date -d "$END_DATE_STR" +%s 2>/dev/null || date -j -f "%b %d %T %Y %Z" "$END_DATE_STR" +%s)

    echo "  - Subject: $SUBJECT"
    echo "  - Issuer : $ISSUER"
    echo "  - 만료일 : $END_DATE_STR"

    if [ "$CURRENT_DATE_EPOCH" -gt "$END_DATE_EPOCH" ]; then
        echo "  [!] 경고: 해당 체인 인증서는 이미 만료되었습니다!"
        HAS_EXPIRED=true
    else
        DAYS_LEFT=$(( (END_DATE_EPOCH - CURRENT_DATE_EPOCH) / 86400 ))
        echo "  [정상] 만료까지 ${DAYS_LEFT}일 남음"
    fi
done

# 3. 디스크 vs 구동 중인 프로세스 불일치 확인 (Nginx/Apache 미재기동 여부)
echo -e "\n[3] 웹 데몬 리로드 점검:"
if [ "$TARGET_HOST" == "localhost" ] || [ "$TARGET_HOST" == "127.0.0.1" ]; then
    NGINX_PID=$(pgrep -o nginx)
    if [ -n "$NGINX_PID" ]; then
        START_TIME=$(ps -o lstart= -p "$NGINX_PID")
        echo "  - Nginx 프로세스 구동 시각: $START_TIME"
        echo "  -> 갱신 후 'nginx -s reload'를 실행했는지 확인하십시오."
    fi
fi

echo -e "\n=========================================="
if [ "$HAS_EXPIRED" = true ]; then
    echo " [진단 결과] 체인 내부(중간 CA 또는 크로스 서명)에 만료된 인증서가 포함되어 있습니다."
else
    echo " [진단 결과] 체인 자체는 유효합니다. 클라이언트 측 CA 번들(신뢰 저장소) 노후화 여부를 점검하세요."
fi
echo "=========================================="