스터디 네트워크 5

HTTP 약점

1. 평문 통신 => 도청 가능

• 암호화되지 않은 메세지 통신 , TCP/IP = 도청가능 네크워크
  • 통신 암호화 : SSL(Secure Socker Layer) 3.0 / TLS(Transport Layer Security) 1.0 => HTTPS

2. 콘텐츠 암호화

• 메시지 바디 암호화 (브라우저,웹 서버 X / 웹 서비스 O)
• 통신상대 미확인 => 위장 가능
  • 누구나 리퀘스트 가능, 서버는 누구에게라도 리스폰스 반환 = Dos 공격
    • Dos vs DDos 추가 학습
  • 상대 확인 증명서 발급

3. 완전성 미증명 => 변조 가능

• 중간자 공격 (Man-in-the-Middle 공격) : 중간에 req, res 빼앗아 변조해서 공격
• 완벽 변조방지 현재 불가능

HTTPS

• HTTP + 암호화 + 인증서 + 완전성 보호 = HTTPS (HTTP Secure)
  • HTTP + (SSL) + TCP + IP
• SSL : 암호화 <-> 복호화
  • 공통키 암호화 : 키만 있으면 누구나 복호화 가능
  • 공개키 암호화 방식 : Private Key(복호화) + Public Key(암호화) = 1 set
    • 처리속도 느려 => SSL 엑셀레이터 하드웨어 (appliance 서버) 사용
      • SSL 추가로 전체 통신량 증가 => 네트워크 부하 , 통신 속도 감소
      • 복호화 계산 => 리소스 다량 소비
    • 서버가 발행한 공개키인가? => 클라이언트, 서버 모두 신뢰하는 제 3자 인증기관
      • EV SSL 세계 표준 인정 가이드라인 의거 발행 : 조직의 실제성을 증명, 녹색 브라우저 창
      • 클라이언트 증명서
      • OpenSSL

• 통신 순서
  C 1 → S 234 → C 567 → S 89 → C 10 → S 11 → C 12

1. Handshake : Client Hello

2. Handshake : Server Hello

3. Handshake : Server Certificate

4. Handshake : Server Hello Done

5. Handshake : Client Key Exchange:

6. Change Cipher Spec

7. Handshake : Finished

8. Change Cipher Spec

9. Handshake : Finished

10. Application Data (HTTP)

11. Application Data (HTTP)

12. Alert: warning, close notify