HTTP, HTTPS란?

📍 백엔드 로드맵의 두번째 이야기! HTTP, HTTPS에 대해서 알아보겠습니다!

01.  들어가기 전

1990년 web을 세상에 내놓았을 때, 웹은 아래 4가지로 이루어져 있었습니다.

• html
• url, uri
• web browser, web server
• http
  
  

02.  HTTP

HTTP란?
클라이언트와 서버가 통신할 때 html, css, js가 컨텐츠라면 서버와 클라이언트가 컨텐츠를 주고받기 위해서 서로가 알아들을 수 있는 공통의 메시지

http://google.com
→ 클라이언트는 http 형식으로 된 요청을 보낼거야!라고 서버에게 보내고
→ 서버에게 받은 http 응답을 클라이언트는 http 형식에 따라서 웹페이지를 보여줍니다.

03.  HTTPS

HTTPS의 S는 Secure(보안)을 뜻합니다.
HTTPS를 사용하는 이유은 다음과 같습니다.

1. 내가 어떤 웹사이트에 보내는 정보를 제 3자가 볼 수 없다.

   • 그냥 http로 보내면 입력한 텍스트 그대로 누군가는 볼 수 있게 된다.
   • https는 이 정보를 네이버만 알 수 있는 뒤죽박죽된 텍스트로 변경해서 보낸다.

2. 접속한 사이트가 신뢰된 사이트인지 알려준다.

   • 수상한 사이트를 걸러낼 수 있다.
   • 기관으로부터 검증된 사이트만 https를 붙여주기 때문이다.

04.  대칭키

그렇다면 앞에서 말했던 https를 쓰는 이유 2가지가 가능한 원리에 대해서 알아봅시다.
클라이언트와 서버 간의 데이터 통신을 할 때 우리는 보통 데이터를 암호화하여 통신을 합니다.

그동안 널리 사용되어 온 방식은 대칭키 방식이라는 것인데요.

대칭키 방식이란?
메시지를 보낸 쪽과 메시지를 받는 쪽이 같은 암호화, 복호화 방식을 공유하는 것을 말합니다.

암호화
내가 보내고자 하는 메시지(안녕하세요)를 키값(dfjsd3434)과 함께 어떤 알고리즘에 넣고 돌리면 암호화된 메시지(뛇앓됧밞)가 됨.

복호화
암호화된 메시지(뛇앓됧밞)를 키값(dfjsd3434)을 통해 넣고 돌리면 원래의 메시지(안녕하세요)가 나옴.
⇒ 즉, 키 값을 알지 못하면 절대 이 암호화된 값을 알 수 없는 것이죠.

대칭키의 한계
내 컴퓨터와 네이버 서버에 동일한 키값이 있으면 서로 보낼 때 제 3자가 알아볼 수 없지만
두 서버에 동일한 키값이 있으려면 언젠가 한번은 그 키를 보내야 하는 한계점이 있죠.

05.  비대칭키

대칭키의 한계점으로 등장한 비대칭키 방식에 대해 알아봅시다.(보통 공개키라고 부름.)

비대칭키 방식이란?
여기 서로 다른 두 키, A키와 B키가 있습니다.
A키로 암호화를 하면 B키로만 복호화를 할 수 있고, B키로 암호화를 하면 A키로만 복호화를 할 수 있습니다.
이를 비대칭키라고 합니다.

네이버 서버는 이 두 키들 중 하나는 비밀로 보관하고(개인키), 다른 하나는 공개합니다.(공개키)
사용자는 공개키로 비밀번호를 암호화해서 보내면 네이버 서버는 개인키로 복호화를 한다.

그렇다면 이 사이트가 네이버인 걸 어떻게 증명하냐
→ 네이버에서 보내는 정보의 일부는 네이버의 개인키로 암호화되어 있습니다.
네이버가 아닌 신뢰되지 않은 사이트에서 보내는 정보는 우리가 가지고 있는 네이버의 공개키로 풀 수 없고 오류가 나게 됩니다.

06.  HTTPS가 실제로 구현되는 과정

네이버의 공개키가 정품인지 확인할 수 있어야 하는데 이를 인증해주는 공인된 민간기업을 certificate Authority(CA)라고 합니다.
우리가 자주 사용하는 브라우저(ex. 크롬)들에는 CA들의 목록이 내장되어 있어요.

🤔 우리가 흔히 아는 크롬, 인터넷 익스플로어 등 브라우저에서 네이버에 접속할 때 어떤 과정을 거치게 될까요?

클라이언트(사용자)는 아직 서버를 신뢰하지 못하는 상태에서 서로 일종의 탐색과정을 거치게 되는데 이를 handshake(악수)라고 합니다.

1. 클라이언트는 어떤 랜덤 데이터를 생성해서 서버에 보냄

2. 받은 서버는 서버측에서 생성한 무작위의 데이터와 해당 서버의 인증서를 실어보냄.
   ⇒ 이걸로 둘은 handshake(악수)를 함.

3. 클라이언트는 인증서가 진짜인지 브라우저가 내장된 CA들의 정보를 통해 확인한다.
   (비대칭키 시스템을 사용해서!)
   1. CA의 인증을 받은 인증서들은 CA의 개인키로 암호화되어 있음.
   2. 인증서가 진짜라면 CA의 공개키로 복호화를 할 수 있다. (복호화가 안되면 아래처럼 뜸)

   
   
   

07.  대칭키, 비대칭키 방식의 사용성

그렇지만 항상 비대칭키 방식으로 주고받는 것은 아닙니다. 혼합되어 사용됩니다.
이유는 그 많은 데이터들을 비대칭키로 암호화, 복호화하는 것은 컴퓨터에게 큰 부담이 되기 때문이죠.

대칭키를 공유할 때(대칭키의 한계점) 비대칭키 방식을 사용하고, 나머지 데이터들을 주고받을 땐 대칭키 방식을 사용합니다.

비대칭키 방식으로 대칭키를 공유하는 방법

• 클라이언트는 아까 악수할 때 보냈던 두 무작위의 데이터들을 혼합해서 어떤 임시키를 만듭니다.
• 이 임시키는 서버의 공개키로 암호화되어 서버로 보내진 다음 양쪽에서 일련의 과정을 거쳐 동일한 대칭키가 만들어집니다.
  (임시키가 → 대칭키가 되는 것!)
  
  

출처

https://www.youtube.com/watch?v=H6lpFRpyl14