Burp CA 인증서 설치 및 macOS 신뢰 설정

개요

웹 트래픽을 분석하기 위해 Burp Suite로 HTTPS 트래픽을 가로채려면 신뢰된 CA 인증서가 필요하다. 브라우저가 Burp의 자체 서명 인증서를 신뢰하지 않으면 연결 오류가 발생한다. 본문은 macOS 환경을 기준으로 Burp CA 인증서를 내려받아 설치하고 시스템 및 브라우저에서 신뢰하도록 설정하는 방법을 단계별로 설명한다. 보안과 개인정보 보호를 위해 테스트 전용 환경에서만 사용한다.

준비사항

• Burp Suite(Community 또는 Professional) 실행 파일
• Burp가 수신(listen) 중인 프록시 포트(기본 127.0.0.1:8080)
• macOS 관리자 권한
• 테스트용 브라우저 및 타깃 기기

Burp에서 CA 인증서 내려받기

Burp를 실행한 뒤 브라우저를 프록시로 설정한다. Burp가 제공하는 인증서 페이지에서 인증서를 직접 내려받을 수 있다.

브라우저를 통한 방법

• 프록시가 동작 중이면 브라우저에서 http://burp 또는 http://127.0.0.1:8080 으로 접속
• 페이지에서 "CA Certificate" 링크를 클릭하여 파일을 저장(burpca.cer)

터미널을 통한 방법

브라우저를 사용하지 않거나 자동화하려면 curl로 내려받을 수 있다.

curl -sS http://127.0.0.1:8080/cert -o burpca.cer

macOS Keychain에 인증서 설치

설치 대상은 시스템 전체에서 신뢰하도록 /Library/Keychains/System.keychain 또는 로그인 키체인에 추가하는 방법이 있다. 시스템 전체 적용을 권장한다.

GUI 방식 (Keychain Access)

• 응용 프로그램 → 유틸리티 → Keychain Access 실행
• 왼쪽 상단에서 'System' 키체인 선택(없으면 추가 필요)
• 파일 → 항목 가져오기...로 burpca.cer 선택
• 가져온 인증서를 더블클릭하여 속성 창 열기
• "Trust" 섹션을 펼치고 "When using this certificate"를 "Always Trust"로 변경
• 변경 후 관리자 암호 입력 요구 시 인증

명령줄 방식

관리자 권한으로 직접 시스템 키체인에 신뢰 루트로 추가할 수 있다.

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain /path/to/burpca.cer

명령 실행 후 브라우저를 재시작한다. 일부 애플리케이션은 추가 재부팅이 필요할 수 있다.

브라우저별 신뢰 설정

Safari, Chrome

Safari와 Chrome은 macOS 시스템 키체인을 따르므로 Keychain Access에서 인증서를 신뢰하면 별도 설정 필요 없음. 변경 후 브라우저 재시작 필요.

Firefox

Firefox는 자체 인증서 저장소를 사용한다. 다음 절차로 인증서를 등록한다.

• Firefox → Preferences(설정) → Privacy & Security
• Certificates 섹션에서 "View Certificates" 클릭
• Authorities 탭 → Import로 burpca.cer 선택
• "Trust this CA to identify websites" 체크 후 확인

모바일 또는 원격 기기에서 사용 시

모바일 기기를 Burp에 연결하려면 Burp의 인증서를 기기로 설치해야 한다. iOS는 인증서를 Safari로 열어 설치 후 설정 → 일반 → 정보 → 인증서 신뢰 설정에서 신뢰를 켜야 한다. Android는 버전별로 다르며 보안 정책에 따라 시스템 인증서에 추가하거나 개발자 모드에서만 적용될 수 있다.

Burp 설정 점검

• Proxy → Options에서 인터페이스(127.0.0.1:8080) 리스너 확인
• Proxy → Intercept는 테스트 중 필요 시 사용, 일반 브라우징 시 Off 권장
• SSL/TLS 인증서 설정은 기본값으로 Burp가 자체 CA를 사용함

문제 해결

• 브라우저에 ERR_CERT_AUTHORITY_INVALID 오류 발생: 인증서가 올바른 키체인에 추가되었는지와 'Always Trust'로 설정되었는지 확인
• Firefox만 오류: Firefox 인증서 저장소에 별도 등록 필요
• HSTS로 인해 연결이 차단될 경우 캐시와 HSTS 상태를 초기화하거나 다른 도메인으로 테스트
• 기업용 장비나 MDM이 설치된 기기는 시스템 정책으로 신뢰 설정이 차단될 수 있음

보안 및 청소 절차

테스트가 끝나면 Burp CA 인증서를 키체인에서 제거하거나 신뢰를 해제한다. 시스템에 남아 있으면 중간자 공격 위험이 커질 수 있다. 또한 테스트 전용 네트워크와 계정을 사용하면 안전하다.

마무리

위 절차를 따르면 macOS와 주요 브라우저에서 Burp Suite의 HTTPS 트래픽 가로채기를 위한 CA 인증서 설치 및 신뢰 설정이 완료된다. 단계별로 확인하면서 진행하면 오류를 줄일 수 있다.