HTTPS 통신과정

HTTPS 통신과정이 한 자료만 읽고 이해하기에는 나한테는 많이 어려웠다.

여러 블로그 글들, '얄팍한 코딩사전', '생활코딩' 영상을 보고 드디어 HTTPS 통신과정을 이해하게 되었고, 이해한 걸 스스로 정리하면서 다른 사람들에게도 공유하고 싶어 이렇게 정리하게 되었다.

 

사실, 깊게 들어가면 더 복잡한 내용들이 많지만

나는 HTTPS 통신 과정이 간단하게 '어떻게' 되는지에 초점을 맞추었다.

 

자료마다 HTTPS 통신과정단계를 나누는 기준이 달라, 내 방식대로 크게 4가지 단계로 나누었다.

1. Handshake (악수)

2. Session Key 생성

3. 데이터 전송

4. 통신 완료

 

들어가기에 앞서 미리 알아야 할 점은

클라이언트, 즉 브라우저는

- CA 리스트

- 각 CA 공개키 등이 내장되어있다.

** 통신 중에는 어떤 방법을 사용하더라도 안전하게 전달하는 것은 어렵기 때문에 많은 브라우저가 주요 인증기관의 공개키를 사전에 내장한 상태로 제품을 내놓고 있다.(출처:책 그림으로배우는 Http&Network Basic)

 

먼저 서버가 인증기관(CA)에 등록(또는 인증)을 하는 것부터 설명하겠다.

1. 서버의 운영자가 인증기관에 등록하기 위해, 서버의 공개키를 인증기관(CA)에 제출한다.

2. CA는 인증기관에 제출된 공개키에 디지털 서명을 하고, 서명이 끝난 공개키를 만든다. 

그리고 CA의 개인키로 암호화된 공개키 인증서에, 서명이 끝난 공개키를 담아 서버에 보낸다.

이렇게, 서버는 CA에 의해 디지털 서명이 된 서버의 공개키가 담긴 공개키 인증서를 가지고 있다.

 

 

1. 먼저 첫번째, handshake 단계

1) 클라이언트는 랜덤 데이터를 생성하여 서버에게 보낸다.

 

 

2) 클라이언트 측에서 보낸 랜덤 데이터를 받은 서버는,

답변으로 서버측에서 생성한 랜덤 데이터 + 해당 서버의 (공개키)인증서를 실어 보낸다.

** CA의 인증을 받은 이 공개키인증서는 해당 CA의 개인키로 암호화 되어있다. 

그리고, 이 인증서에는 서버의 공개키가 포함되어 있다.

즉, 'CA의 개인키로 암호화 된, 서버의 공개키가 포함된 인증서'를 클라이언트에게 전송.

 

 

 

3) Client는 이 인증서가 진짜인지 가짜인지 브라우저에 내장된 CA리스트와 CA 공개키를 이용해 확인하게 된다.

- 먼저, 서버로부터 받은 인증서와 브라우저에 내장된 CA리스트를 비교해 인증서의 인증기관이 CA리스트에 있는지 확인한다.

- 확인 후, 인증서의 인증기관이 브라우저에 내장된 CA리스트에 포함되어 있다면, 브라우저 내장되어있는 해당 CA의 공개키를 이용하여 'CA 개인키로 암호화된 인증서'를 복호화한다. 

** 이 공개키로 복호화될 수 있는 인증서를 발급할 수 있는 건, 그에 대응하는 개인키를 가진 CA뿐이다.

즉, 해당 CA의 공개키로 복호화가 된다는 건, CA가 발급한 인증서가 맞다는 이야기!

 

Q. 만약 다른 사이트, 예를 들면 '네이버'가 아닌 '네이놈'이라는 사이트의 서버라면?

인증서를 조작해서 클라이언트에 보냈을지라도 CA로부터 인증되지 않은 개인키로 암호화를 하였기 때문에 브라우저 측에서 복호화를 하지 못한다.

또한, CA리스트 중에 이 인증서의 인증기관이 없다면 주소창에 'Not Secure'이라고 뜨고, 화면에 경고창을 띄워 서버와 연결이 안전하지 않다는 화면을 보여준다.

이렇게 서버로부터 받은 인증서를 복호화 하면, 인증서에는 서버의 공개키가 포함되어있다.

 

자! 서버의 공개키도 있고, 서버도 안전하다는걸 인증서를 통해 확인했으니

이제 이 공개키로 메시지들을 암호화해서 비대칭키 방식으로 주고받으면 되겠네!!

--> NO!!! 비대칭키 방식 + 대칭키 방식을 혼합해서 사용된다.

 

엥? 아니, 그 좋은 비대칭키 방식을 놔두고 왜 대칭키 방식을 쓸까?

--> 비대칭키 방식으로 메시지를 암호화 & 복호화 하는건 대칭키로 할때보다 컴퓨터에 훨씬 큰 부담을 준다.

사이트를 이용할때 주고받을 그 다량의 데이터를 비대칭키로 일일이 암호화, 복호화 하는건 무리!

그래서 데이터를 주고받을때는 '대칭키 방식'을 사용한다.

 

 

2. Session Key 생성 단계 - 여기까지  '비대칭키 방식' 이용

자, 그렇다면 이제 대칭키를 생성하여 공유해야지!

 

1) 클라이언트 : handshake단계에서 주고받은 랜덤 데이터를 이용해 임시 키를 만든다. 
(참고로, 이 임시 키를 pre-master secret key라고 부르는데, 차치하고 그냥 이해하기 쉽게 '임시 키'로 부르겠다..!)

그리고 이 임시 키를 '서버의 공개키'로 암호화하여 서버로 보낸다.

 

 

2) 클라이언트와 서버, 양쪽에서는 그 임시키를 이용해 일련의 과정을 거쳐 동일한 대칭키(Session Key)가 만들어진다!

이제 이 대칭키(세션 키)는 서버와 클라이언트, 둘만 갖고 있으니 이후 서로 주고받아지는 메시지들을 제 3자가 알아볼 수 없다.

 

 

3. 전송 단계

** 실제로 서버와 클라이언트가 데이터를 주고받는 단계.

- 이 단계에서의 핵심은, 정보를 상대방에게 전송하기 전에 Session Key를 이용해 대칭키 방식으로 암호화 한다는 점.

1) 클라이언트 ---> 서버 : Session Key로 암호화된 정보를 서버에게 전송하게 되면, 서버도 Session Key를 가지고 있기 때문에 암호화된 정보를 복호화 할 수 있다.

2) 서버 ---> 클라이언트 : 그 결과를 서버가 클라이언트에게 보낼때는 다시 Session Key로 암호화 한 다음 클라이언트로 전송.

3) 클라이언트 : 가지고 있는 Session Key를 이용해 복호화 하여 사용자에게 보여준다.

 

 

4. 전송 완료 단계

데이터의 전송이 끝나면 통신이 끝났음을 서로에게 알려준다.

이때 통신에서 사용한 대칭키인 Session Key를 폐기.

Session Key가 노출되어 암호를 역추정 한다 하더라도, 전송은 아주 짧은 시간에 일어나는 작업이기 때문에 복호화 된다고 하더라도 이미 통신은 종료가 되어 있을 확률이 높다. 

 

 

 

 

모든 글과 그림의 출처는 유튜브 영상 '얄팍한 코딩사전', '생활코딩'입니다.