💡 참고 포스팅
HTTPS
HypertText Transfer Protocol Secure의 약자.
HTTP 프로토콜의 과정에서 암호화/복호화 과정이 추가된 프로토콜입니다.
HTTPS는 포트번호 443번을 사용합니다.(HTTP 포트번호 : 80번)
기존의 HTTP는 평문을 전달했기 때문에 제 3자로 부터 열람이 가능하여 개인정보 유출의 위험이 컸습니다. 이를 막기 위해 중간에 암호화 과정을 거치는 프로토콜입니다.
이는 일반적으로 암호화하기 위해 SSL 또는 TLS를 사용합니다.
SSL과 TLS
SSL(보안 소켓 계층)
기존의 인터넷 상에서 데이터를 암호화하여 전송하는 표준 기술을 의미하며, 데이터의 기밀성과 무결성을 보장합니다.
보안상의 취약점으로 인해 현재에는 TLS로 대체되었습니다.
TLS(전송 계층 보안)
SSL의 후속 기술로 보안 강와 및 여러 취약성을 보완하기 위해 개발되었습니다.
HTTPS 프로토콜에서도 TLS가 데이터 암호화를 담당합니다.
결론적으로, SSL은 이전 기술이며 최근에는 TLS 프로토콜을 사용하여 데이터 암호화가 수행됩니다. 인증기관의 인증서는 암호화 과정에서 서버의 신원을 보증하기 위한 방식입니다.
HTTPS의 동작 과정
대칭키와 비대칭키 암호화 방식을 모두 사용하여 빠른 연산 속도와 안정성을 갖고 있습니다.
HTTPS 연결 과정(Hand-Shaking) 에서는 먼저 서버와 클라이언트 간에 세션키를 교환합니다. 해당 세션키는 데이터 암호화를 위해 주고 받는 대칭키 입니다. 데이터 교환 시에는 빠른 수행 속도가 필요하므로 대칭키를 사용합니다.
이 때, 세션키를 서버와 클라이언트 간에 공유하는 과정에서 비댕칭 키가 사용됩니다.
HTTPS 연결 과정
-
클라이언트가 서버로 최초 연결 시도를 합니다.
-
서버는 공개키를 클라이언트에게 넘겨줍니다.(서버가 비대칭키(공개/비공개) 생성)
-
클라이언트는 공개키의 유효성 검사 후 세션키를 발급합니다.(클라이언트가 세션키 발급)
-
클라이언트는 세션키를 보관하며 추가로 서버의 공개키로 세션키를 암호화하여 서버로 전송합니다.
-
서버에서 개인키로 암호화된 세션키를 복호화합니다.
-
클라이언트와 서버는 동일한 세션키(대칭키)를 공유하기 때문에 데이터 전달 시 세션키로 암호화/복호화가 수행됩니다.
SSL/TLS 인증서 발급 과정
위의 과정에서 조금 더 자세하게 확인할 부분은 비대칭키의 발급 과정입니다. 서버는 클라이언트와 세션키를 공유하기 위해 공개키를 생성해야 하는데, 일반적으로 인증기관에 공개키를 전송하여 인증서를 발급 받습니다. 해당 과정은 다음과 같습니다.
-
HTTP 기반의 애플리케이션에 HTTPS 적용을 위해 인증기관에 인증서 발급을 요청 합니다.
-
인증기관에 돈을 지불하고기업명, 서버의 공개키, 서버 정보 등을 전달합니다.
-
인증기관은 인증기관의 개인키로 인증서를 암호화(서명)하여 요청 대상에게 제공합니다.
-
서버는 클라이언트에게 암호화된 SSL/TLS 인증서를 제공합니다.
-
클라이언트는 인증기관의 공개키를 가지고 암호화된 인증서를 복호화한 뒤 생성한 세션키를 암호화 합니다.
-
서버로 암호화된 세션키를 전송합니다.
