HTTP와 HTTPS

들어가기 앞서

인터넷을 사용할 때 우리는 매일 HTTP와 HTTPS를 접하게 됩니다. 웹 사이트에 접속할 때 http:// 또는 https:// 로 시작하는 URL을 보게 되는데, 이 두 프로토콜이 무엇인지, 각 프로토콜의 역할이 무엇인지 잘 이해하지 못하는 경우가 많습니다. 이 글에서는 HTTP와 HTTPS의 기본 개념을 설명하고, 각각의 기능과 특징을 비교하여 HTTPS만이 가지는 특별한 동작 방식에 대해 살펴보겠습니다. 

 

HTTP

HTTP (HyperText Transfer Protocol)는 웹에서 데이터를 전송하는 기본 프로토콜입니다. 사용자가 웹 브라우저를 통해 웹 페이지를 요청하면, 서버는 해당 요청에 대한 응답을 보내줍니다. 

 

HTTP는 사용자가 웹 브라우저를 통해 지속적으로 요청과 응답을 주고받는 방식으로 동작합니다. 하지만 HTTP는 연결 상태를 유지하지 않는 무상태(stateless) 프로토콜이기 때문에, 각 요청이 독립적으로 처리됩니다. 이로 인해 사용자가 매번 정보를 새로 입력해야 하는 번거로움이 있습니다. 

 

또한, HTTP는 데이터를 암호화하지 않기 때문에 중간자 공격 등의 보안 위협에 노출될 수 있습니다. 이러한 공격으로 인해 민감한 정보가 쉽게 유출될 위험이 있습니다. 

 

이러한 보안 문제를 해결하기 위해 HTTP 메세지를 암호화하여 보다 안전하게 전송할 수 있는 HTTPS가 등장하게 되었습니다. 

 

HTTPS

HTTPS (HyperText Transfer Protocol Secure)는 HTTP에 데이터 암호화 기능을 추가하여, 사용자와 서버 간의 모든 데이터 전송을 안전하게 보호합니다. 이를 통해 정보의 기밀성과 무결성을 보장하고, 중간자 공격과 같은 보안 위협으로부터 정보를 안전하게 지킬 수 있습니다. 

 

그렇다면, HTTPS는 어떤 과정을 통해 안전한 HTTP 통신을 가능하게 만들까요? 

SSL 인증서

우선 HTTPS 프로토콜을 사용하기 위해서는 인증기관(CA)으로 부터 SSL 인증서를 발급받아야 합니다. 서버에서 HTTPS 프로토콜 사용을 위해 SSL 인증서를 발급받는 과정은 아래와 같습니다. 

1. 서버의 공개 키와 비밀 키 생성

먼저 서버는 인증기관(CA)에 전송할 공개 키와 개인 키를 생성합니다. 

2. 인증서 요청 및 서버 정보 전송

서버는 SSL 인증서를 발급받기 위해 인증기관(CA)에서 인증서 요청을 보냅니다. 이때 서버는 인증기관(CA)에 자신의 공개 키와 서버에 관한 정보를 포함한 인증서 요청(CSR)을 생성하여 전송합니다. 

 

인증서 요청(CSR)에는 서버의 도메인 이름, 조직 정보, 공개 키 등이 포함됩니다. 

3. 인증기관(CA)의 인증서 생성

인증기관(CA)는 서버가 제출한 정보를 검토하여, 해당 정보가 정확하고 유효한지 확인합니다. 이 과정에서 도메인 소유권 확인, 조직 정보 검증 등이 포함됩니다. 

 

이에 대한 검토가 완료된다면, 인증기관(CA)은 서버의 공개 키와 확인된 정보를 포함하여 SSL 인증서를 생성합니다. 인증서에는 서버의 공개 키, 서버 정보, CA의 서명 등이 포함됩니다. 

4. CA의 비밀 키로 인증서 암호화

이후 인증기관(CA)는 발급합 SSL 인증서를 보호하기 위해 자신의 공개 키와 개인 키를 생성합니다. 개인 키는 SSL 인증서의 서명 및 암호화에 사용되어 클라이언트가 인증서를 신뢰할 수 있도록 합니다. 

5. 인증서의 전달 및 발급 완료

인증기관(CA)은 암호화된 SSL 인증서를 서버에 전송하고, 인증서를 전송받은 서버는 인증서를 설치하여 클라이언트와의 통신을 위해 사용할 준비를 합니다. 

6. 클라이언트에 인증기관(CA) 공개 키 전송

마지막으로 인증기관(CA)는 클라이언트의 웹 브라우저에 자신의 공개 키를 전송합니다. 이 공개 키는 브라우저에 내장되어 있으며, 이후 SSL 인증서의 유효성을 검증하는 데 사용됩니다.

 

이렇게 SSL 인증서를 성공적으로 발급받고, 클라이언트의 브라우저에 인증기관(CA)의 공개 키가 내장된 후, 서버는 HTTPS 통신을 위한 모든 준비를 마친 상태가 됩니다. 이제 서버는 HTTPS 통신을 통해 안전한 데이터 전송 작업을 수행할 수 있습니다. 

 

다음으로 SSL 인증서를 통해 HTTPS의 통신 과정이 어떻게 동작하는지에 대해 알아보겠습니다. 

 

 

동작 과정

HTTPS 연결의 보안 과정은 SSL/TLS의 SSL 핸드셰이크 과정에서 시작됩니다. 이 과정은 클라이언트와 서버 간의 안전한 연결을 설정하는 일련의 단계로 구성됩니다. 이 과정을 통해 클라이언트와 서버는 서로의 신원을 확인하고, 안전한 데이터 전송을 위한 암호화를 진행합니다. 

 

아래에서부터는 이 과정이 어떻게 이루어지는지에 대해 살펴보겠습니다. 

SSL handshake

1. Client Hello

클라이언트는 서버에 연결 요청을 보냅니다. 이 요청에는 클라이언트가 지원하는 암호화 알고리즘, TLS 버전, 랜덤 데이터 등이 포함되어 있습니다. 이 정보는 서버가 클라이언트의 연결을 어떻게 암호화할지 결정하는데 사용됩니다. 

2. Server Hello

서버는 클라이언트의 요청을 수신한 후, 자신이 사용할 암호화 알고리즘과 TLS 버전, 랜덤한 데이터를 포함한 응답을 클라이언트에 보냅니다. 또한, 서버는 자신의 SSL 인증서도 함께 전송합니다. 이 인증서에는 서버의 공개 키와 CA의 서명이 포함되어 있습니다.

3. SSL 인증서 복호화

클라이언트는 받은 인증서가 유효한지 확인하기 위해, 먼저 CA가 발급한 인증서 목록에서 서버가 제공한 인증서가 포함되어 있는지 확인합니다. 인증서가 목록에 존재할 경우, 클라이언트는 CA에서 제공한 공개 키를 사용해 인증서를 복호화합니다. 

 

이를 통해 클라이언트는 서버의 공개 키와 CA의 서명을 획득하게 됩니다.

4. 대칭 키 생성 및 전송

본격적으로 키 교환을 위해, 클라이언트는 실제 데이터 통신에 사용할 임시 대칭 키를 생성합니다. 이 과정에서 클라이언트와 서버가 이전에 주고받은 랜덤 데이터를 조합해 임시 키를 생성한 후, 서버의 공개 키로 이를 암호화합니다. 그런 다음, 클라이언트는 암호화된 대칭 키를 서버로 전송합니다.

5. 세션 키 생성 및 암호화 시작

서버는 전송 받은 대칭 키를 자신의 개인 키를 사용하여 복호화합니다. 이를 통해 클라이언트와 서버는 동일한 세션 키를 생성하게 됩니다. 이후, 클라이언트와 서버는 이 세션 키를 통해서 대칭 키 암호화 방식으로 안전하게 데이터를 전송합니다. 

6. 완료 및 데이터 전송

클라이언트와 서버는 이제 암호화된 통신 채널을 통해 데이터를 안전하게 교환할 수 있습니다.