HTTPS

---

HTTPS(Hyper Text Transfer Protocol Secure)이란?

• 기존 HTTP에 데이터 암호화가 추가해 보안이 강화된 프로토콜이다. HTTP는 텍스트 교환 방식이기 때문에 누군가 네트워크에서 신호를 가로채어 본다면 내용이 노출될 위험이 크다.
• CA로부터 받은 인증서를 통해 클라이언트가 원한 서버로부터 응답 받았는지 확인 가능하다.
• 데이터 암호화를 위해 SSL, TLS 프로토콜을 사용하고 보통 포트번호 443번을 쓴다.
• 데이터 암호화 방식은 다음과 같다.
  - 비대칭키 암호화
  - 대칭키 암호화
  

인증서(Certificate)와 CA(Certificate Authority)

한 눈에 보는 흐름

1. 클라이언트가 서버에게 요청을 한다.
2. 서버가 클라이언트에게 인증서와 함께 응답을 한다.
3. 클라이언트는 인증서에 작성된 도메인과 응답 객체에 작성된 도메인(서버로부터 받은 인증서)를 비교한다
   • 만약 인증서 내용이 같다면, 올바른 서버로부터 받은 데이터인 걸 확신한다.
   • 다르다면, 해커가 클라이언트의 요청을 중간에 탈취해 제대로된 서버로부터 온 응답이 아님을 알고 중간자 공격 혹은 잘못된 응답임을 확신한다.

인증서(Certificate)란?

데이터를 보낸 서버가 정말로 데이터를 보낸 서버인지 인증, 확인하는 용도이다. 인증서 내용에 서버의 도메인 관련 정보가 있어 데이터 제공자에 대한 신원이 보장된다.

CA(Certificate Authority)란?

인증서를 발급하는 공인기관이다. 각 브라우저는 각자 신뢰하는 CA를 가지고있다. 그래서 각 브라우저마다 CA 차이가 난다. 또한 자격이 평생 유지되는 것이 아니라 자격 박탈을 당할 수 있다.

비대칭키 암호화

공개키 암호화라고도 부르며 서로 값이 전혀 다른 2개의 키가 한 쌍을 이루며 암호화 및 복호화를 한다.

• 공개키
  모두에게 공개 가능한 키 (서버가 클라이언트에게 공유하는 키)
  공개키로 암호화했을 경우 -> 비밀키로만 복호화 할 수 있다.
• 비밀키(개인키)
  서버만 가지고 알고 있어야 하는 키
  비밀키로 암호화했을 경우 -> 공개키로만 복호화 할 수 있다.

대칭키 암호화

암호화, 복호화 할 때 동일한 키를 사용하는 방식

• 공개키 암호화 방식보다 1000배 빠르다.
• 클라이언트-서버 간의 동일한 키를 공유해야 하기 때문에 키관리의 어려움이 있고, 잦은 키 변경이 있는 경우에 불편함을 초래한다.

HTTPS 흐름

1. 클라이언트 - 요청 -> 서버
   클라이언트가 생성한 랜덤 데이터, 사용 가능한 암호화 방식 후보들을 포함시켜 보낸다.
2. 서버 - 응답 -> 클라이언트
   서버가 생성한 랜덤 데이터, 서버가 선택한 클라이언트 암호화 방식, 인증서를 함께 응답한다.
3. 클라이언트
   서버로부터 받은 인증서를 비교해 제대로된 곳에서 온 것인지 확인한다.
   1, 2에서 생성된 랜덤 데이터 2개를 조합해 pre master secret 키 생성한다.
   ➡️ 대칭키로 활용 예정
4. 클라이언트 - 전송 -> 서버
   인증서 안에 있는 공개키를 활용해 pre master secret를 암호화하고 전송
5. 서버
   비밀키로 pre master secret 복호화
6. 클라이언트, 서버
   각각 pre master secret을 활용해 대칭키 생성 (master secret 또는 session key)
7. session key를 활용한 대칭키 암호화 방식으로 통신
8. 통신이 끝나면 세션 종료, session key 폐기

• 1 ~ 6까지는 비대칭키 암호화 방식으로 통신하고, 7 ~ 8까지는 대칭키 암호화 방식으로 통신한다.
• 모든 통신이 끝나면 세션키는 파괴하지만 (session.destroy()) 공개키, 비밀키는 남아있다.

HTTPS 서버 생성

/* 관련 모듈(미들웨어) 불러오기 */
const fs = require('fs');
const express = require('express');
const app = express();
const https = require('https');
let server;

/* 인증서 파일들이 존재하는 경우에만 https 프로토콜을 사용하는 서버를 실행하고,
인증서 파일이 존재하지 않다면 http 프로토콜을 사용하는 서버를 실행한다. */
// https.createServer([options][, requestListener])
if (fs.existsSync("./key.pem") && fs.existsSync("./cert.pem")) {
  server = https
    .createServer( 
      {
        key: fs.readFileSync(__dirname + `/` + "key.pem", "utf-8"),
        cert: fs.readFileSync(__dirname + `/` + "cert.pem", "utf-8"),
      },
      app
    )
    .listen(4000);
} else {
  server = app.listen(4000);
}

module.exports = server;

https.createServer()를 이용해 https 서버 구현 => 여기 참고!