*🔐Study Keyword :

✅ 대칭키와 비대칭키는 무엇이고 어떤 차이가 있을까?

HTTPS의 보안 기능이 구현되는 원리

• 해당 원리를 알기 위해선 1>대칭키와 2>비대칭 키의 개념을 알아야한다.
• 전쟁에서 아군에게 편지로 메세지를 보낼 때 중간에 편지를 탈취해도 알아볼 수 없도록 하려면 메시지의 내용을 암호화 해야 암호화 된 메세지를 아군만이 읽을 수 있다.

이처럼 이러한 방식들 중 하나가 이전 까지 사용되어왔던 1> 대칭키
방식으로 메시지를 보내는 쪽과 메시지를 받는 쪽이 메시지를 암호화하고 이를 다시 메시지로 바꿀 때, 복호화 시 같은 방식을 공유하는 것을 의미한다.

1. 대칭키(Symmetric Key)

WHAT IS❓

• 대칭키? 암호화와 복호화에 같은 암호키(대칭키)를 사용하는 알고리즘을 의미한다.
• 장점, 동일한 키를 주고받기 때문에, 매우 빠르다.

1> 유저의 컴퓨터와 네이버 서버에 동일한 키가 있다면 대칭 즉, 양쪽이 똑같다.
2> 유저가 로그인을 할때 실어 보내는 비밀번호를 동일한 키로 암호화한다.
3> 네이버에서는 마찬가지로 이를 복호화해서 인식한다.

대칭키의 한계?

• 단점, 대칭키 전달과정에서 해킹 위험에 노출

• 동일한 키를 양쪽이 공유하기 위해서는 결국 한번은 한쪽에서 다른쪽으로 해당 키를 전송해야 하기에 이 과정에서 중간에 누군가 키를 훔쳐 본다면 문제가 발생한다.
• 이를 보완하여 등장한 방식이 비대칭 키 또는 공개 키라고 불리는 시스템이다.

2. 비대칭키(Public Key)

비대칭 키에는 2개의 키가 사용되는데 A키와 B키는 한 쌍이지만 서로 다르기 때문에 비대칭키라 부른다.

• 비대칭키란? 암호화와 복호화에 사용하는 암호키를 분리한 알고리즘이다.
• 자신이 가지고 있는 고유한 암호키(비밀키)로만 복호화할 수 있는 암호키(공개키)를 대중에 공개한다.

• 대칭키 시스템에서는 어떤 키로 암호화를 하면 같은 키로 복호화를 할 수 있다.
• 하지만 비대칭키 시스템에선 A키로 암호화를 하면 오직 B키로 만 복호화를 할 수 있고 반대로 B키로 암호화를 하면 A키로 만 풀 수 있다.

비대칭키로 해결할 수 있는 보안문제

1. 해킹 문제 해결 방식

• 네이버 서버는 A,B 키들 중 하나 만을 비밀로 보관, 이것을 개인키라 부르고 다른 하나의 키는 누구나 볼 수 있도록 대중들에게 공개한다.
• 사용자는 공개키로 비밀번호를 암호화 해서 네이버에 보낸다.
• 이때 누군가 가로채도 같은 공개 키로는 이 암호문을 풀어낼 수가 없으며 이것을 볼 수 있는 건 오직 개인키를 가진 네이버 뿐이다.
  => 따라서 이러한 원리로 개인 정보들을 안심하고 사이트에 보낼 수 있게된다.

2. 사이트 신뢰 문제 해결 방식

• 네이버 서버에서 유저에게 보내는 정보들은 일부가 네이버의 개인키로 암호가 되어 있다.
• 유저가 네이버에 공개키로 풀어서 알아볼 수 있는 건 네이버의 개인 키로 암호화된 정보들 뿐이므로 외부 피싱 사이트에서 온 정보들은 네이버의 공개키로 풀리지 않기 때문에 네이버의 공개키로 열어보면 오류가 발생한다.
  => 따라서 신뢰할 수 있는 기관에서 우리에게 네이버 공개키만 검증해 준다면 그것을 기준으로 안전하게 네이버를 이용할 수 있다

HTTPS가 공개키와 대칭키를 활용해 구현되는 과정

• 네이버가 우리에게 뿌린 공개키가 정품인지를 확인할 수 있어야한다.
• 이러한 과정을 인증해주는 공인된 민간 기업을 Certificate Authority, CA라고 부른다.
  EX> 브라우저, 크롬 등 프로그램에는 CA들의 목록이 내장

브라우저에서 네이버에 접속할 때 거치는 일련의 과정들

0. 클라이언트(브라우저)는 서버(네이버)를 신뢰하지 못하기 때문에 일종의 탐색 과정을 거치게 되고 이를 handshake, 악수라 지칭한다.
   
1. 클라이언트는 어떤 랜덤한 데이터를 생생해서 서버에 보낸다.
   
2. 그것을 받은 서버는 답변으로 마찬가지로 서버 측에서 생성한 무작위 데이터와 해당 서버에 인증서를 실어서 보내는데 이러한 과정이 클라와 서버는 핸드셰이킹 통신 과정이다.
   
3. 클라이언트는 서버로 부터 받은 인증서가 진짜인지 브라우저에 내장된 CA들의 정보를 통해 확인하는데 이떄 비대칭 시스템을 사용한다.
   
4. CA에 인증을 받은 인증서들은 해당 CA의 개인키로 암호화가 되어있기에 때문에 인증서가 진짜라면 브라우저에 저장된 그 CA에 공개키로 복호화를 할 수 있다.

• 공개키로 복호화 될 수 있는 인증서를 발급할 수 있는 건 그에 대응하는 개인 키를 가진 CA뿐이다.
• 만약 CA 리스트 중에 인증서가 해당하는 것이 없다면 브라우저의 주소창에 다음과 같은 표시가 뜬다.
  

5. 성공적으로 복호화된 인증서에는 서버의 공개키가 포함되어 있는데 이때 주고 받은 데이터들은 대칭키 방식과 비대칭 키 방식이 혼합되어 사용된다.

대칭 키 방식과 비대칭 키 방식을 혼합하여 사용하는 이유?

• 비대칭 키 방식으로 메시지를 암호화 및 복호화하는 건 대칭키로 할 때 보다 컴퓨터에 훨씬 큰 부담을 준다.
• 따라서 사이트를 이용할 때 주고받을 다량의 데이터를 비대칭 치로 일일이 암호화, 복호화하는건 무리가 있다.

대칭키와 비대칭키 혼합 방식

=> 1. 데이터를 대칭키로 암호화를 하고 2. 그 대칭 키를 공유할 때 비대칭 키를 사용한다.

• 클라이언트가 악수할 때 사용하던 무작위 데이터를 혼합해서 임시 키를 만들고 임시 키는 서버의 공개키로 암호화하여 서버로 보낸다.
• 이후 양쪽에서 일련의 과정을 거쳐 동일한 키를 만들면 해당 서버와 클라이언트만 가지고 있는 대칭키를 갖게된다.

*💡conclusion

대칭키를 주고받을 때만 공개키 암호화 방식을 사용하고 이후에는 계속 대칭키 암호화 방식으로 통신한다.

#📑Study Source

• https://ko.gadget-info.com/difference-between-http, HTTP와 HTTPS의 차이점
• https://www.youtube.com/watch?v=H6lpFRpyl14&t=65s, 얄코 HTTPS가 뭐고 왜 쓰나요? (Feat. 대칭키 vs. 비대칭키)
• https://gyoogle.dev/blog/computer-science/network/HTTP%20&%20HTTPS.html