HTTP, HTTPS의 차이와 HTTPS 동작 방식

[GIVEN53]

.

[nayonsoso]

HTTP

• Hypertext Transfer Protocol (하이퍼 텍스트 전송 프로토콜)
• 인터넷을 통한 통신은 대부분 HTTP 프로토콜을 사용한다.
• 80 포트를 사용한다.

HTTPS

• Hypertext Transfer Protocol Secure (하이퍼텍스트 전송 프로토콜 보안)
• HTTP 의 보안 버전이다.
• SSL 또는 TLS 를 사용해서 HTTP 요청과 응답을 암호화한다.
• 따라서 공격자는 HTTP 텍스트 대신 무작위의 문자를 보게 된다.
• 443 포트를 사용한다.

SSL과 TLS

• SSL(Secure Sockets Layer) 은1999년에 TLS(Transport Layer Security)로 업데이트 되었다.
• SSL은 1996년 SSL 3.0 이후 업데이트되지 않았으며, 앞으로 사라지게 될 것으로 여겨지고 있다.
• 실제로, 최신 웹 브라우저는 대부분 이제 SSL을 지원하지 않는다.
• 하지만 여전히 SSL 의 인지도가 높고, HTTP 임호화를 ‘SSL/TLS’로 부르는 사람들이 많기 때문에, 이들은 혼용해서 쓰이곤 한다.
• ref : https://www.cloudflare.com/ko-kr/learning/ssl/what-is-ssl/

대칭키와 비대칭키

• 대칭키는 암호화와 복호화에 사용되는 키가 동일한 것을 말한다.
• 비대칭키는 암호화와 복호화에 사용되는 키가 다른 것을 말한다.
  • 예를 들어, A키와 B키가 비대칭키라면, A키로 암호화한 것은 B키로만 풀 수 있다.
• 비대칭 암호화의 방식을 ‘공개 키 암호화’ 라고도 한다.
• 이 비대칭 암호화를 통해 HTTPS 가 가능해진다.

HTTPS 작동 방식 (간단 ver)

상황

• 우리 컴퓨터와 네이버가 통신한다고 가정하자.
• 네이버는 외부에 노출되는 공개키를 SST/TLS 인증서에 포함하고 있다.
• 그리고 개인키는 노출되지 않게 보관하고 있다.

요청

• 우리가 네이버에 요청을 보낼때, 우리는 네이버의 공개키를 통해 정보를 암호화한다.
• 요청을 받은 네이버는 개인키로 요청을 복호화한다.
• 이 과정에서 탈취되더라도, 네이버의 공개키로 암호화한 것은 네이버의 개인키로 복호화할 수 있으므로 네이버만 해독할 수 있다.

응답

• 네이버로부터 응답이 올 때, 네이버는 개인키로 암호화를 해서 전송한다.
• 그리고 우리는 네이버의 공개키로 이를 복호화할 수 있다,
• 만약 네이버가 아니라 다른 나쁜 서버에서 응답이 온다면, 네이버의 공개키로 응답을 해독할 수 없을 것이다.
• 이때 중요한 것은 ‘우리가 가진 공개키가 정말로 네이버의 공개키가 맞는지’ 일 것인데, 이를 인증해주는 곳이 바로 CA(certificate authority) 이다.

HTTPS 작동 방식 (현실 ver)

현실에서는 통신에 사용되는 모든 데이터를 일일이 암호화 / 복호화하기인 비용이 많이 든다. 따라서 클라이언트가 서버에 처음 접속할 때만 비대칭키 방식을 사용해서 TLS 핸드 셰이크를 하고, 이후의 통신은 대칭키를 통해 한다.

1. 클라이언트가 무작위 메세지를 서버에 전송한다.
2. 서버는 이에 대한 응답으로 TLS 인증서와 서버의 무작위 메세지를 전송한다.
3. 클라이언트는 서버의 TLS 인증서를 CA를 통해 검증한다.
   • 브라우저에 공인된 CA 목록이 저장되어있다.
   • 이 검증의 단계에서 ‘서버가 인증서에 명시된 서버인지’, ‘서버가 지금 통신하는 도메인의 소유주인지’를 검증한다.
4. 클라이언트는 TLS 인증서에 있는 서버의 공개키를 통해 ‘예비 마스터 암호’라고 하는 무작위 문자열을 전송한다.
5. 서버는 개인키로 클라이언트가 보낸 ‘예비 마스터 암호’를 해독한다.
6. 클라이언트와 서버는 1번의 클라이언트 무작위 메세지, 2번의 서버 무작위 메세지, 4-5번의 예비 마스터 암호를 통해 세션 키를 생성한다. 이들은 같은 값으로, 이후의 통신에서 대칭키로 사용될 수 있다.
7. 클라이언트가 세션키를 생성하면, 그 세션키로 암호화된 ’완료 메세지’를 전송한다.
8. 서버가 세션키를 생성하면, 그 세션키로 암호화된 ‘완료 메세지’를 전송한다.
9. 이 과정을 통해 핸드셰이크가 성공하고, 세션키를 이용한 대칭키 통신이 이루어진다.

ref : https://www.cloudflare.com/ko-kr/learning/ssl/what-happens-in-a-tls-handshake/
ref : https://youtu.be/H6lpFRpyl14?si=FBEgZx6EuapX46sQ

[jcoding-play]

HTTP, HTTPS의 차이

1. 보안성

• HTTP: 암호화되지 않은 상태로 데이터를 전송하므로 보안에 취약합니다.
• HTTPS: 데이터를 암호화하여 전송하므로 도청, 데이터 변조 등의 공격에 대해 더 안전합니다.

2. 인증서 사용

• HTTP: 인증서를 사용하지 않습니다.
• HTTPS: SSL/TLS 인증서를 사용하여 서버의 신원을 확인하고 데이터 암호화를 수행합니다.

3. 포트 번호

• HTTP: 기본적으로 80번 포트를 사용합니다.
• HTTPS: 기본적으로 443번 포트를 사용합니다.

HTTPS 동작 방식

1. 클라이언트-서버 연결 수립: 클라이언트가 서버에 HTTPS 연결 요청을 보냅니다.
2. SSL/TLS 핸드셰이크: 클라이언트와 서버가 서로를 인증하고 세션 키를 교환하여 안전한 통신 채널을 설정합니다.
3. 암호화를 이용한 데이터 전송: 설정된 세션 키를 사용하여 데이터를 암호화하고 전송합니다.
4. 연결 종료: 통신이 끝나면 연결을 종료하고 세션 키를 폐기합니다.

---

HTTPS의 자세한 동작 방식이 궁금하다면 🧐
참고 블로그
참고 블로그