HTTPS, SSL를 쉽게 알아보자 (천천히 읽으면 누구나 이해가능한,)

Image by Flaticon

🔐 HTTPS 그게 뭔데?

• S는 secure의 약자
• 왜 HTTPS를 사용함?
  • 서버에 보내는 정보를 제 3자가 볼 수 없게 (비밀번호 같은거 서버로 보낼 때 가로채면 아찔)
  • 사이트가 진품인지, 즉 신뢰할 수 있는 사이트인지 검증 (기관으로 부터 검증된 사이트만 HTTPS 사용이 허가됨)

암호화 방식

• 대칭키 방식: 하나의 키를 가지고 암호화, 복호화
  • 문제점: 결국 한 번은 한 쪽에서 다른 쪽으로 대칭키를 전송해야하는데.. 대칭키를 해킹 당하면 말짱 도루묵
• 비대칭키(공개키) 방식: 공개키로 암호화, 비공개키로 복호화 가능.

비대칭키(공개키)

대칭키의 문제점 때문에 비대칭키 방식을 사용하는 건 알겠어.
그러면 비공개키가 클라이언트에 있어야 하는데, 네이버가 우리에게 준 공개키가 정품인지 확인이 필요함

• 공개키를 인증해주는 공인된 민간기업 = CA(Certificate Authority)
• 브라우저에는 CA의 목록이 내장되어 있음 (CA의 공개키와 함께)

📮 브라우저에서 네이버에 접속할 때

• 클라이언트는 아직 서버를 신뢰 못함
• Handshake 과정 필요
  • 클라이언트는 랜덤 데이터 A를 생성해서 서버에 보냄
  • 서버도 랜덤 데이터 B를 생성해서 서버의 SSL 인증서를 실어서 보냄
• 클라이언트는 이 인증서가 진짜인지 브라우저에 내장된 CA들의 정보를 통해 확인
  • 일단 이 인증서가 CA 기관에 등록되어있는지 확인 → 없으면 신뢰할 수 없는 사이트라고 뜰 것
  • CA의 인증을 받은 인증서는 해당 CA의 개인키로 암호화가 돼있음 → 브라우저에 내장된 CA의 공개키로 복호화 가능
• 복호화 성공했다면 서버의 SSL 인증서 안에는 서비스의 정보, 서버의 공개키가 들어 있음.
  • 아 그러면 이 공개키를 가지고 비대칭키 방식으로 데이터 주고받으면 되겠구나 !
  • 놉.. 비대칭키 방식으로 암호화 복호화 하기에는 다량의 데이터를 처리하기에는 컴퓨터에 무리 → 대칭키 방식 사용하는 게 효율적
  • 근데 대칭키는 위험하다매?
• 클라이언트는 Handshake 하는 과정에서 주고 받은 랜덤 데이터 A, B를 조합해서 pre master secret라는 키를 생성함. 이거는 제 3자에 노출되어서는 안됨
• 그럼 이 pre master secret 키를 서버에 어떻게 전달? 비대칭키 방식으로 암호화해서! (서버의 공개키로 암호화하고 서버는 비공개키로 복호화)
• 서버와 클라이언트는 일련의 과정을 거쳐 pre master secret을 master secret 값으로 만듬.
• master secret은 session key를 생성하는데 이 값을 이용해 서버와 클라이언트는 데이터를 대칭키 방식으로 암호화 한 후 주고 받는다 !

Reference

• https://www.youtube.com/watch?v=H6lpFRpyl14
• https://opentutorials.org/course/228/4894