🍭 다니의 HTTPS

HTTP란

• http란 htyper Text Transfer Protocol의 줄인말로 서로 다른 시스템들 사이에서 통신을 주고받게 하는 가장 기본적인 프로토콜이다.
• 서버에서 브라우저로 데이터를 전송하는 용도로 가장 많이 사용한다.

💡 HTTP는 서버에서 브라우저로 전송하는 데이터가 암호화되지 않는다는 단점을 지닌다.

HTTPS란

• HTTPS는 HTTP 프로토콜에 SSL(보안 소켓 계층)을 사용한 것이다.
• SSL은 서버와 브라우저 사이에 안전하게 암호화된 연결을 만들 수 있게 도와주고, 서버와 브라우저가 민감한 정보를 주고 받을 때 해당 정보가 도난당하는 것을 막아준다.

HTTP가 아닌 HTTPS를 사용해야하는 이유

보안

첫 번째 이유는 보안이다.

HTTP로 데이터를 전송하게 되면 네트워크로 전송되는 데이터 원본 그자체가 전달된다. 해커가 중간에서 패킷을 탈취하면 어떤 정보가 담겨저 있는지 내용을 그대로 확인할 수 있다.

하지만 HTTPS로 데이터를 전송하면 데이터를 암호화해서 전송하게 된다. 중간에 탈취당해도, 데이터가 어떤 내용을 지니는지 알 수 없다.

SEO(검색엔진 최적화)

두 번째 이유는 검색엔진 최적화를 위해서이다.

검색엔진, 대표적으로 구글을 들 수 있겠다. 이 구글의 검색 엔진은 https를 사용하는 웹사이트에 가산점을 부여한다. 자신의 웹 사이트가 검색엔진에 더 빈번히 노출되고 싶다면 https는 불가피한 선택이다.

또한 가속화된 모바일 페이지 - AMP를 구현할때에는 https를 사용해야만 한다.

(AMP는 모바일 기기에서 컨텐츠를 훨씬 빠르게 로딩하기 위한 수단으로 구글에서 만들었다.)

모바일 친화적인 웹 사이트를 만들고 모바일 검색순위를 증가시키는게 점점 더 중요해진 요즘은 https로 전환이 필수적이다.

SSL/TLS 란?

TLS는 간단히 말해서 SSL의 업그레이드 버전이다. 하지만 일반적으로 두 용어를 동일한 의미에서 사용하기 때문에 어떤 용어를 사용해도 무방하다.

• SSL은 Secure Sockets Layer의 약자로 Netscape Communications Corporation에서 웹 서버와 웹 브라우저간의 보안을 위해 만든 프로토콜이다.
• 공개키/개인키 방식과 대칭키 방식을 혼합해 사용하는 방법으로 동작한다.
• SSL이 필요한 이유 : 서버가 브라우저로 보내는 데이터를 외부의 공격자로부터 보호하기 위해 필요하다.

대칭키 방식

대칭키 방식은 동일한 키로 암호화와

복호화를 수행하는 방법이다.

누구든지 암호화에 이용된 키를 가지고 있다면 해당 데이터를 쉽게 복호화 할 수 있다. 예를 들어 암호화 할 때 사용하는 키를 원본 그대로 저장하고 있고 해커가 중간에 이키를 가로채서 가지고 있다 가정하자. 그런 다음 해당 키로 암호환 데이터를 가로챈 다음 확인을 해보면 해커는 이 데이터가 어떤 내용을 가지고 있는지 쉽게 확인할 수 있다.

• 암호화 복호화가 공개키/개인키 방식에 비해 간단하다.
• 반면 키를 배송할 때 보안 문제가 존재한다.

공개키 방식

공개키 방식은 서로 다른 키로 암호화 복호화를 수행하는 방식이다.(비대칭키 방식으로도 불리운다)

• 데이터 암호화 시에 공개키를 사용한다면 복호화시에는 개인키를 사용해야한다.
• 반대로 데이터 암호화시에 개인키를 사용했다면 복화시에는 공개키를 사용해야한다
• 개인키는 보통 서버를 운영하는 회사가 가지고 공개키는 CA(Certificate Authority) 인증받은 인증기관들에서 관리한다.

공개키는 암호화, 개인키는 복호화할 때 쓰임으로 공개키는 이름처럼 누구에게나 공개되어도 보안상 문제가 발생하지 않는다.

• 공개키는 공개되어도 상관 없으므로 (암호화에만 쓰이기 때문) 키 배송 관련 보안문제로부터 자유롭다.
• 암호화/복호화 과정이 복잡하여 비용이 크다.

++))

대칭키는 비교적 쉬운 개념이므로, 비대칭키 암호화에 대해 조금 자세히 살펴보도록 하자.

비대칭키 암호화는 공개키/개인키 암호화 방식을 이용해 데이터를 암호화하고 있다. 공개키와 개인키는 서로를 위한 1쌍의 키이다.

• 공개키: 모두에게 공개가능한 키
• 개인키: 나만 가지고 알고 있어야 하는 키

암호화를 공개키로 하느냐 개인키로 하느냐에 따라 얻는 효과가 다른데, 공개키와 개인키로 암호화하면 각각 다음과 같은 효과를 얻을 수 있다.

• 공개키 암호화: 공개키로 암호화를 하면 개인키로만 복호화할 수 있다. -> 개인키는 나만 가지고 있으므로, 나만 볼 수 있다.
• 개인키 암호화: 개인키로 암호화하면 공개키로만 복호화할 수 있다. -> 공개키는 모두에게 공개되어 있으므로, 내가 인증한 정보임을 알려 신뢰성을 보장할 수 있다.

출처:

https://mangkyu.tistory.com/98 [MangKyu’s Diary]

SSL의 통신 과정

• SSL은 공개키 방식으로 대칭키를 전달한다.
• 대칭키를 활용해 암호화와 복호화를 하고 서버와 브라우저가 통신을 진행한다.

공개키와 대칭키 혼합 사용 방법 예시

A에서 B로 접속 요청을 보내는 상황이다.

B는 A에게 자신의 공개키를 전송한다.

A는 자신의 대칭키를 B에서 전달받은 공개키로 암호화한다.

이렇게 암호화한 A의 대칭키를 B에게 다시 보내준다.

B는 A의 대칭키를 자신의 개인키로 복호화한다. 이 복호화 결과로 B는 A의 대칭키를 얻어낼 수 있다.

이렇게 얻어낸 대칭키로 A와 B는 통신상 전달되는 http 메시지의 바디 데이터를 암호화하여 외부의 공격자로부터 안전한 통신을 수행할 수 있다.

공개키 방식은, 연산량이 많고 cost가 큰 작업이다. 따라서 대칭키를 암호화하여 전달할 때 단 한번만 사용한다.

이후 이루어지는 서버 브라우저간 통신에서는 비교적 간단하고 빠른 연산작업을 하는 대칭키를 사용해 안전한 통신을 빠르게 수행하게 된다.

실제 사용자가 접속한 사이트가 검증된 사이트임을 어떻게 확인할까??

우선 사이트는 사이트 인증서가 필요하다. 사이트 인증서는 인증기관에서 사이트에게 발급하는 문서이다. 사이트 인증서를 발급받기 위해 사이트는 인증기관에게 사이트 정보와 사이트 공개키를 전송한다.

인증기관에서는 인증서를 발급하기 전에 먼저 전달받은 데이터를 검증한다.

인증기관에서 성공적으로 검증을 완료하면 인증기관은 사이트 인증서를 생성하기 위해 이 인증서를 인증기관의 개인키로 서명한다.

인증기관이 서명을 하게 되면 사이트 인증서가 생성되고 생성된 인증서를 사이트에 전달한다.

인증기관은 이후 사용자에게 인증기관의 공개키를 사용자에게 전달한다.

(이후 사이트와 통신할때 사이트 인증서를 복호화하기 위해 사용된다.)

사용자가 인증기관으로부터 전달받은 인증기관의 공개키는 사용자의 브라우저에 저장된다.

여기까지가 사용자가 아직 사이트에 접속하기 전의 내용이다.

이어서 사용자가 사이트에 접속요청을 했을 때 어떤일이 일어나는지 알아보자.

사용자가 사이트에게 접속 요청을 보낸다.

그러면 사이트는 우선 자신이 신뢰할 수 있는 사이트임을 증명하기 위해 사이트 인증서를 사용자에게 전송한다.

사용자는 브라우저에 내장되어있는 인증기관의 공개키로 사이트 인증서를 복호화해서 검증한다.

사이트 인증서를 해독하면 사이트 정보와 사이트 공개키를 얻을 수 있다.

이렇게 얻은 사이트 공개키로 사용자는 자신의 대칭키를 암호화한다. 그리고 암호화한 사용자 대칭키를 사이트에게 전달한다.

이어서 사이트는 자신의 개인키로 사용자에게 전달받은 사용자 대칭키를 해독해서 사용자 대칭키를 얻어낸다.

드디어 사용자 대칭키를 사용자와 사이트가 모두 지니게 되었다.

이 사용자 대칭키로 서버와 브라우저는 이후 통신에서 안전한 ssl통신을 수행하게 된다.

💡 정리하면
- ssl은 사이트 외에 인증기관과 사용자가 협력하기 때문에 안전한 접속방법이 된다. 
- 사용자가 사용하는 사이트가 안전한 사이트인지 확인이 가능해진다.

Reference

https://www.youtube.com/watch?v=wPdH7lJ8jf0