HTTP와 HTTPS 동작 과정에 대해 설명하세요.

[yeonkkk]

HTTP와 HTTPS 동작 과정에 대해 설명해주세요!

[yeonkkk]

HTTP와 HTTPS는 데이터 전송을 위한 프로토콜로, 웹 브라우저와 웹 서버 간에 데이터를 주고받을 때 사용됩니다.
두 프로토콜은 데이터 보안 측면에서 다르게 동작합니다.

HTTP의 동작 과정을 먼저 설명드리겠습니다.
클라이언트가 HTTP 요청을 하면, 요청은 일반 텍스트로 전송되고 URL을 포함한 요청 내용이 서버로 전송됩니다.
웹 서버는 클라이언트의 요청에 대한 응답을 하며, 응답 또한 일반 텍스트로 전송됩니다.
이 때, 데이터는 암호화되지 않고 일반 텍스트로으로 전송되기 때문에 보안 문제가 발생할 가능성이 있습니다.

이제 HTTP에 암호화와 인증을 추가한 HTTPS 의 동작 과정에 대해 설명드리겠습니다.
클라이언트가 HTTPS로 웹 서버에 연결하면, SSL/TLS 프로토콜을 사용하여 핸드셰이크 과정이 시작됩니다.
이 과정에서 서버는 클라이언트에게 자신의 디지털 인증서를 제공하고, 클라이언트는 이를 확인합니다.
이 단계에서 클라이언트와 서버는 세션키를 교환하고, 이후 통신은 이 키를 사용하여 암호화됩니다.
이후 클라이언트와 서버 간에 전송되는 모든 데이터는 공개키 및 대칭키 암호화를 통해 보호됩니다.
이로써 데이터가 중간에서 가로채져도 해독하기 어려워집니다.

따라서 HTTPS를 사용함으로써 데이터의 기밀성과 무결성을 보호할 수 있으며, 사용자의 프라이버시를 강화할 수 있습니다.

ref.
tecoble - http와 https에 대해 알아보자

[yoondgu]

HTTPS는 HTTP와 달리 보안 소켓 계층인 SSL 계층이 추가된 것이다.
더 간단하게 말하자면 HTTP에 데이터 암호화가 추가된 프로토콜이 HTTPS이다.
HTTPS는 HTTP와 달리 443번 포트를 사용하며, 중간에 제3자가 정보를 볼 수 없도록 암호화를 지원한다.

HTTP는 단순히 요청과 응답이 이루어지지만,
HTTPS는 연결 과정을 성립하기 위해 암호를 주고받는 과정이 추가로 있다.

1. 클라이언트(브라우저)가 서버로 최초 연결 시도를 함
2. 서버는 공개키(엄밀히는 인증서)를 브라우저에게 넘겨줌
3. 브라우저는 인증서의 유효성을 검사하고 세션키를 발급함
4. 브라우저는 세션키를 보관하며 추가로 서버의 공개키로 세션키를 암호화하여 서버로 전송함
5. 서버는 개인키로 암호화된 세션키를 복호화하여 세션키를 얻음
6. 클라이언트와 서버는 동일한 세션키를 공유하므로 데이터를 전달할 때 세션키로 암호화/복호화를 진행함
   -> SSL 핸드셰이크로 서로만 아는 세션키(대칭키) 공유 가능

HTTPS는 보안 상 장점 뿐만 아니라 검색엔진 최적화(SEO)에 있어서도 큰 혜택을 볼 수 있다. (구글에서 HTTPS 지원 웹사이트에 높은 검색 순위를 제공함)

[yoondgu]

• 왜 공개키 암호화와 비밀키 암호화를 복합적으로 사용했는지도 정리해보기
  (https://github.com/ksundong/backend-interview-question 참고)