HTTPS, SSL

• HTTPS란?
  • WWW 서비스의 데이터 통신용으로 이용하는 HTTP 프로토콜에 SSL의 암호화 통신 기능을 추가한 것이다. (HTTP + SSL)
• 필요한 이유 / 배경
  • HTTP는 데이터를 암호화 하지 않고 그대로 전송하기 때문에 네트워크 상에선 누구나 쉽게 볼 수 있으며, 이에 따라 외부에 의한 해킹, 데이터 손상의 위험이 따른다. 여기에 SSL(암호화 프로토콜)을 적용하여 데이터를 안전하게 송신할 수 있도록 만들어진 것이 HTTP이다.
• 동작 원리
  1. 클라이언트에서 서버로 접속 시도시, SSL 핸드셰이크 요청
  2. 서버에서 SSL 인증서(RSA 공개키 포함)를 클라이언트로 전송
  3. 클라이언트에서 인증서를 CA(신뢰된 인증기관)의 공개키로 검증. 유효성, 도메인 일치, 만료 기간 등
  4. AES 대칭키(생성키) 생성 후 서버의 RSA 공개키로 암호화하여 서버에 전송
  5. 서버에서 비공개키로 복호화하여 세션키 획득
  6. 양쪽에서 같은 세션키를 갖게되어 데이터 암호화 시작
  7. TSL를 통해 HTTP데이터를 암호화하여 전송
     1. 요청: GET, POST, PUT, DELETE..
     2. 응답: HTML, JSON..
• 구성 요소
  • HTTP : 데이터를 전송하는 프로토콜(요청/응답)
  • SSL/TLS : HTTP 위에서 동작하는 보안 계층 -> 데이터 암호화, 무결성, 인증 제공
  • 인증서(Certificate) : 서버의 신원을 증명하는 디지털 신분증 -> 도메인, 공개키, ca서명 등 포함
  • 암호화 알고리즘:
    • 대칭키: AES
    • 비대칭키: RSA, ECDHE
    • 해시
• 실생활 / 실무 예시
  • 프론트의 https와 백의 http 서버가 충돌하여 생긴 오류 (mixed content) 
• 관련 개념
  • AES, RSA
• 요약 / 핵심 정리 표

 

 

HTTPS(Hyper Text Transfer Protocol over SSL)는  WWW 서비스의 데이터 통신용으로 이용하는 HTTP 네트워크 프로토콜에 SSL에 의한 암호화 통신 기능을 추가한 것이다. WWW 서버와 웹 브라우저 간의 통신이 암호화되어 신용카드 번호나 개인정보 등을 안전하게 교환할 수 있다.

 

웹 브라우저를 사용해 홈페이지를 열람할 때는 보고싶은 URL을 주소로 지정한다. 이 주소는 'http://'로 시작하는 것이 일반적이다. 그러나 온라인 쇼핑을 이용할 때 주소가 'https://'로 시작하는 경우가 있다. 이는 https를 사용하여 암호화 통신이 수행됨을 나타낸다.

 

HTTPS 로 시작하는 URL 페이지의 경우 해당 페이지에서 송신되는 정보는 HTTPS에 의해 안전이 보증되며, 온라인 쇼핑에서 신용카드 번호를 입력하거나 회원 등록이라는 명목으로 개인정보를 입력할 때 이러한 정보의 유출을 방지할 수 있다.

 

애플의 사파리나 구글의 크롬 같은 주요 웹 브라우저는 이 프로토콜을 지원한다. 웹 브라우저에서 HTTPS 에 의해 통신할 때는 주소 창에 암호화 통신 중임을 나타내는 열쇠 모양이 표시된다.

 

SSL

과거 넷스케이프 커뮤니케이션즈사가 개발한 암호화 프로토콜로, 인터넷에서 안전하게 정보를 교환하기 위해 사용한다.

 

인터넷 통신에서는 다른 사람이 통신 사대인 척 하는 '도용'이 발생하거나, 통신 경로 도중에 도청을 당하거나, 데이터가 조작되는 등의 다양한 위험이 존재한다. 이로써 신용카드 번호, 비밀번화와 같은 중요한 정보를 빼앗길 수도 있다.

 

SSL(Secure Sockets Layer)을 이용한 통신은 네트워크상에서 서로를 인증하게 하여 '도용'을 방지하고, 통신 데이터를 암호화하여 데이터의 도청이나 조작을 방지한다. 이러한 안정성은 온라인 쇼핑 등과 같은 인터넷 서비스를 다양화하기 위해 빼놓을 수 없는 중요한 요소다.

 

애플의 사파리나 구글의 크롬 같은 주요 웹 브라우저는 ssl을 지원하며 ssl 대응 서버와 안전하게 통신할 수 있다. 

 

SSL은 OSI 참조 모델에서 전송 계층과 응용 계층 사이에 위치한다. 상위 애플리케이션층에는 특정 프로토콜에 의존하지 않고 이용할 수 있으므로, HTTP나 FTP등 다영한 프로토콜에서 안전하게 통신할 수 있다.