[Network] HTTP와 HTTPS

📔 HTTP, HTTPS

📝 HTTP(Hyper Text Transfer Protocol)

• 서버/클라이언트 모델을 따르는 프로토콜로 인터넷에서 데이터를 주고받기 위해 사용된다.
• 인터넷에서 Hyper Text를 교환하기 위한 통신 규약으로 80번 포트를 사용한다.
• HTTP 서버는 80번 포트에서 요청을 기다리고 클라이언트는 80번 포트로 요청을 보낸다.
• 1989년에 팀 버너스리에 의해 처음 설계되었고 WWW(World-Wide-Web) 기반에서 세계적인 정보를 공유하는데 큰 역할을 했다.

📝 HTTP 동작

• 사용자가 브라우저를 통해 어떤 서비스를 URL을 통해 요청(Request)하면 서버에서 해당 요청사항에 맞는 결과를 찾아 사용자에게 응답(Response)하는 형태로 동작한다.
• 요청 : Client → Server
• 응답 : Server → Client

📝 HTTP 특징

• HTTP 메시지는 HTTP 서버와 HTTP 클라이언트에 의해 해석된다.
• TCP/IP를 이용하는 응용 프로토콜이다.
• 연결 상태를 유지하지 않는 비연결성 프로토콜이다.
• 연결을 유지하지 않는 프로토콜이라 요청/응답 방식으로 동작한다.

📝 HTTP 흐름

1. TCP 연결을 연다.

• TCP 연결은 요청을 보내거나 응답 받는데 사용된다.
• 클라이언트는 새 연결을 열거나 기존 연결을 재사용하는 등 서버에 대한 여러 TCP 연결을 열 수 있다.

2. HTTP 메시지를 전송한다.

• HTTP 메시지(HTTP/2 이전)는 사람이 읽을 수 있다. HTTP/2에서는 메시지가 프레임 속으로 캡슐화되어 직접 읽는게 불가능하다.

3. 서버에 의해 전송된 응답을 읽어들인다.
4. 연결을 닫거나 다른 요청들을 위해 재사용한다.

📝 HTTPS

• HTTP에 데이터 암호화가 추가된 프로토콜이다.
• SSL이라는 프로토콜을 사용해 데이터를 암호화한다.
• 443번 포트를 사용, 네트워크 상 중간에 제 3자가 정보를 볼 수 없도록 공개키/개인키 암호화를 지원한다.

SSL이란?

공개키 암호화를 기반으로 동작하는 프로토콜이다.

사용목적 
1. 통신내용이 공격자에게 노출되는 것을 막을 수 있다.
2. 클라이언트가 접속하려는 서버가 신뢰할 수 있는 서버인지 판단할 수 있다.
3. 통신내용의 악의적인 변경을 방지할 수 있다.

 

📝 HTTPS에서 공개키/개인키 암호화

• HTTPS는 공개키/개인키 암호화 방식 이용해 데이터를 암호화한다. 공개키와 개인키는 서로를 위한 한 쌍의 키이다.
• 공개키 : 모두에게 공개 가능한 키
• 개인키 : 나만 알고 있어야하는 키

👍🏻 공개키/개인키 암호화를 통해 얻는 효과

• 공개키 암호화 : 개인키로만 복호화 가능 → 개인키는 나만 가지므로 나만 볼 수 있다.
• 개인키 암호화 : 공개키로만 복호화 가능 → 공개키는 모두에게 공개되어 있으므로 내가 인증한 정보임을 알려 신뢰성 보장 가능하다.

📝 HTTPS 동작 과정

• HTTPS는 SSL(Secure Socket Layer)같은 프로토콜을 사용해 공개키/개인키 기반으로 데이터를 암호화한다.
• 데이터는 암호화되어 전송되기 때문에 임의의 사용자가 데이터를 조회해도 원본의 데이터를 보는 것은 불가능하다.
• 그렇다면 서버는 클라이언트가 요청을 보낼 때 암호화 하기 위한 공개키를 생성해야 하는데 일반적으로 인증된 기관(CA, Certificate Authority)에 공개키를 전송해 인증서를 발급받는다.
• 암호화된 인증서는 CA의 개인키로 암호화 되어있음 → 신뢰성 확보 가능 → 클라이언트는 A기업의 공개키로 데이터를 암호화했으므로 A기업만 복호화해 원본의 데이터를 얻을 수 있다.
• HTTPS는 이런 공개키/개인키 기반의 대칭키 암호화 방식을 활용해 안전성을 확보한다.

📝 HTTP와 HTTPS

• HTTP는 암호화 x → 보안에 취약함
• HTTPS는 안전하게 데이터를 주고받을 수 있음
• HTTPS를 이용하면 암호화/복호화 과정이 필요해 HTTP보다 속도 느림 (오늘날에는 거의 차이를 못느낌)
• HTTPS는 인증서 발급 후 유지하기 위한 추가비용이 발생됨

언제 HTTP, HTTPS 사용?

• 개인정보 같은 민감한 데이터를 주고 받는다 → HTTPS
• 단순한 정보 조회 등 처리 → HTTP