HTTPS의 원리

타미·2020년 8월 2일

HTTP를 먼저 알아보자

HTTPS는 SSL(Secure Socket Layer)을 이용한 HTTP 통신 방식입니다. (HTTPS : HTTP over Secure Socket Layer)

따라서 HTTP에 대해 먼저 간단하게 알아보겠습니다.

HTTP : Hyper Text Transfer Protocol

하지만 HTTP에는 3가지 약점이 있습니다.

암호화하지 않은 통신이기 때문에 도청할 수 있다.

통신 경로 상에 있는 네트워크 기기나 케이블이나 컴퓨터 등을 전부 자기 자신이 소유할 수는 없습니다. 악의를 가진 사람이 기기를 통해 통신 내용을 도청할 수 있습니다.
통신 상대를 확인하지 않기 때문에 위장할 수 있다.
- (Request의 출처) Client를 확신할 수 없다.
  - HTTP는 누가 Request를 보내도 Response하는 구조입니다. 신원이 보장된 특정 Client와만 통신할 수 없습니다.
  - 또한 대량의 Request를 통한 Dos 공격의 위험이 있습니다.
- (Response의 출처) Server를 확신할 수 없다.
  - Response를 보낸 Server가 내가 의도한 Server인지 확신할 수 있습니다. 위장 Server라는 위험성이 있습니다.
완전성을 증명할 수 없기 때문에 변조 할 수 있다.

완전성: 정보의 정확성

Client와 Server가 보낸 정보를 중간에 누군가 바꿀 위험성이 있습니다.

SSL을 사용하면 암호화를 할 수 있고, 통신하려는 상대를 보증할 수 있습니다.

Client Server 통신에 앞서 Server는 CA에서 인증서를 받는습니다.

CA(Certificate authority)
공인된 기관에서 Server가 믿을 수 있는 서버인지 보증하는 SSL 보증서를 발급합니다.
- CA기관마다 보안 강도가 다르기도 합니다.
- 뒤에 실습에서 살펴볼 인증서는 보안 강도가 약한 수준이지만, 보안 수준이 높은 인증서는 사업자등록증까지 요구한다고 합니다.
자체 CA (사설 CA)로도 SSL 인증서를 발급할 수 있습니다.
- 사설 CA도 HTTPS 통신입니다. 하지만 브라우저 입장에서는 안전하지 않다고 판단합니다.

random data
- Server가 생성된 random data입니다.
Client가 보낸 암호화 기법 중 자신도 사용할 수 있고, 가장 안정된 암호화 기법
- 사용할 암호화기법
인증서
- 인증서에는 서비스 정보와 public key를 보냅니다.
- 서비스 정보: 인증서를 발급한 CA, 서비스의 도메인 등등
  - 서비스 정보는 private key로 암호화된 상태입니다.

Server가 보낸 인증서에는 서비스 정보와 public key가 있습니다.
- private key와 public key는 하나의 쌍을 이룹니다.
- public key로 암호화 → private key로 복호화
private key로 암호화된 서비스를 public key로 복호화할 수 있다면,
- 두 key는 pair입니다.
- CA 기관에서 발급한 인증서라고 할 수 있습니다.
- 즉, 내가 기대한 서버인지 확인하게 됩니다.

⇒ 대칭키 방식 (public, private key를 사용하는 암호화 방식)

premaster secret은 앞서 언급한 random data를 합쳐 생성합니다.
public key로 암호화하면 private key로만 복호화할 수 있기 때문에 premaster secret은 안전합니다.
premaster secret → master secret → session key
- 일련의 과정을 거쳐 client와 server는 공통키를 가지게 됩니다.