오늘의 CS(HTTPS)

🤔 HTTPS란?

👉 HTTPS는 애플리케이션 계층과 전송 계층 사이에 신뢰 계층인 SSL/TLS 계층을 넣은 신뢰할 수 있는 HTTP 요청을 말한다. 이를 통해 "통신을 암호화 한다"

 

📚 SSL/TLS

👉 SSL(Secure Socket Layer)/ TLS(Transport Layer Security Protocol)은 전송 계층에서 보안을 제공하는 프로토콜이다. 클라이언트와 서버가 통신할 때 SSL/TLS를 통해 제 3자가 메시지를 도청하거나 변조하지 못하도록 막는다. 

👉 SSL/TLS를 통해서 공격자가 서버인 척하며 사용자 정보를 가로채는 네트워크 상의 인터셉터를 방지할 수 있다. 

👉 SSL/TLS는 보안 세션을 기반으로 데이터를 암호화하며 보안 세션이 만들어질 때 인증 메커니즘, 키 교환 암호화 알고리즘, 해싱 알고리즘이 사용된다. 

 

1️⃣ 보안 세션

👉 보안 세션이란 보안이 시작되고 끝나는 동안 유지되는 세션(운영체제가 어떠한 사용자로부터 자신의 자산 이용을 허락하는 기간), SSL/TLS는 핸드셰이크를 통해 보안 세션을 생성하고 이를 기반으로 상태 정보 등을 공유한다. 

👉 클라이언트와 서버와 키를 공유하고 이를 기반으로 인증, 인증 확인 등의 작업이 일어나는 단 한 번의 1-RTT가 생긴 후 데이터를 송수신하는 것을 볼 수 있다.

👉 클라이언트에서 사이퍼 슈트(프로토콜, AEAD(데이터 암호화 알고리즘) 사이퍼 모드, 해싱 알고리즘이 나열된 규약)를 서버에 전달하면 서버는 받은 사이퍼 슈트의 암호화 알고리즘 리스트를 제공할 수 있는지 확인한다. 

👉 제공할 수 있다면 서버에서 클라이언트로 인증서를 보내는 인증 메커니즘이 시작되고 이후 해싱 알고리즘 등으로 암호화된 데이터의 송수신이 시작된다. 

👉 인증 메커니즘은 CA(Certificate Authorities)에서 발급한 인증서를 기반으로 이루어진다. 안전한 연결을 시작하는 데 있어 필요한 "공개키"를 클라이언트에 제공하고 사용자가 접속한 서버가 신뢰할 수 있는 서버임을 보장

 

2️⃣ 암호화 알고리즘

👉 대수곡선 기반의 ECDHE 또는 모듈식 기반의 DHE를 사용한다. 둘 다 다피-헬만 방식을 근간으로 만들어졌다.

👉 디피-헬만 키 교환 암호화 알고리즘은 암호키를 교환하는 하나의 방법이다. 처음에 공개 값을 공유하고 각자의 비밀 값과 혼합한 후에 혼합 값을 공유한다. 그다음 각자의 비밀 값과 또 혼합한다. 그 이후에 공통의 암호키인 PSK(Pre-Shared Key)가 생성된다. 

👉 PSK가 생성되면 공격자가 개인키 또는 공개키를 가지고 있어도 아무것도 할 수 없다.

 

3️⃣ 해싱 알고리즘

👉 데이터를 추정하기 힘든 더 작고, 섞여 있는 조각으로 만드는 알고리즘이다. SHA-256 알고리즘을 사용하며 비트 코인을 비롯한 많은 블록체인 시스템에서 사용된다. 전처리된 메시지를 기반으로 해시(다양한 길이를 가진 데이터를 고정된 길이를 가진 데이터로 매핑한 값)를 반환한다.

 

 

4️⃣ HTTPS 구축방법

👉 직접 CA에서 구매한 인증키를 기반으로 HTTPS 서비스를 구축하거나, 서버 앞단의 HTTPS를 제공하는 로드밸런서를 두거나, 서버 앞단에 HTTPS를 제공하는 CDN을 둬서 구축한다. 

 

❗️HTTPS는 검색엔진 최적화에도 도움이 된다.