[HTTP] 보안 HTTPS

#1. HTTP를 안전하게 만들기

사람들은 웹 트랜잭션을 중요한 일에 사용한다. 강력한 보안이 없다면 온라인 쇼핑이나 인터넷뱅킹을 할 때 안심할 수 없을 것이다. 보다 중요한 트랜잭션을 위해서는 HTTP와 디지털 암호화 기술을 결합해야 한다.

HTTPS

HTTPS는 HTTP를 안전하게 만드는 방식 중에서 가장 인기있다. HTTPS를 사용할 때 모든 HTTP 요청과 응답 데이터는 네트워크로 보내지기 전에 암호화된다.

HTTPS는 HTTP 하부에 전송 레벨 암호 보안 계층을 제공함으로써 동작하는데 이 보안 계층은 안전 소켓 계층(Secure Sokets Layer, SSL) 혹은 그를 계승한 전송 계층 보안(Transport Layer Secure, TLS)을 이용하여 구현된다.

HTTPS 스킴과 보안 전송 셋업

보안이 없는 일반적인 HTTP는 URL의 스킴 접두사는 http , 보안이 되는 HTTPS 프로토콜 URL의 스킴 접두사는 https

URL이 http 스킴을 갖고 있다면 클라이언트는 서버에 80번(기본값) 포트로 연결하고 평범한 HTTP 명령 전송
URL이 https 스킴을 갖고 있다면 클라이언트는 서버에 443번(기본값) 포트로 연결하고 서버와 바이너리 포맷으로 된 몇몇 SSL 보안 매개변수를 교환하면서 핸프셰이크를 하고 암호화된 HTTP 명령일 뒤를 잇는다.

SSL 핸드셰이크

암호화된 HTTP 메시지를 보낼 수 있게 되기 전에 클라이언트와 서버는 SSL 핸드셰이크를 할 필요가 있다

서버 인증서

SSL은 서버 인증서를 클라이언트로 전송하고 다시 클라이언트 인증서를 서버로 전송하는 상호 인증을 지원한다. 클라이언트 인증서는 오늘날 웹 브라우징에선 흔히 쓰이지 않는다. 하지만 보안 HTTPS 트랜잭션은 항상 서버 인증서를 요구한다.

서버 인증서는 서버를 얼마나 신뢰할 수 있는지 평가하는 것에 도움을 준다.

가상 호스팅과 인증서

가상 호스트(하나의 서버에 여러 호스트 명)로 운영되는 사이트의 보안 트래픽을 다루는 것은 까다롭다. 만약 사용자가 인증서의 이름과 정확히 맞지 않는 가상 호스트 명에 도착했다면 경고 상자가 나타날 것이다.

클라이언트는 종종 그들을 대신하여 웹 서버에 접근해주는 웹 프락시 서버를 이용한다. 클라이언트가 서버로 보낼 데이터를 서버의 공개키로 암호화하기 시작하면 프락시는 HTTP헤더를 읽을 수 없다.

HTTPS SSL 터널링 프로토콜을 사용해 이러한 문제를 해결한다.

CONNECT 메서드

CONNECT home.netscape.com:443 HTTP/1.0

user- agent: Mozilla/1.1N

<SSL로 암호화된 데이터가 이 다음에 온다...>

HTTP/1.0 200 Connect established

Proxy-agent: Netscape-Proxy/1.1

참고 자료