디지털 암호화를 이용해 도청이나 위조로부터 HTTP 트랜잭션을 안전하게 보호하는 기술을 알아보자.

HTTP를 안전하게 만들기

• 대량 구매, 은행 업무, 보안 자료 접근을 위해서 보다 강력하고 중요한 트랜잭션을 위해서는, HTTP와 디지털 암호화 기술을 결합해야 함.
• HTTP의 보안 버전을 위해 필요한 조건은 다음과 같음.
  • 서버 인증
    • 클라이언트는 자신이 위조된 서버가 아닌 진짜와 이야기하고 있음을 알아야 함.
  • 클라이언트 인증
    • 서버는 자신이 가짜가 아닌 진짜 사용자와 이야기하고 있음을 알 수 있어야 함.
  • 무결성
    • 클라이언트와 서버는 그들의 데이터가 위조되는 것으로부터 안전해야 함.
  • 암호화
    • 클라이언트와 서버는 도청에 대한 걱정 없이 서로 대화할 수 있어야 함.
  • 효율
    • 저렴한 클라이언트나 서버도 이용할 수 있도록 알고리즘은 충분히 빨라야 함.
  • 편재성
    • 프로토콜은 거의 모든 클라이언트와 서버에서 지원되어야 함.
  • 관리상 확장성
    • 현재 알려진 회선의 보안 방법을 지원해야 함.
  • 사회적 생존성
    • 사회의 문화적, 정치적 요구를 만족해야 함.
• HTTPS

  • HTTP를 안전하게 만드는 방식 중에서도 가장 인기 있는 방법임.

  • 넷스케이프 커뮤니케이션 주식회사에서 개척하였으며 모든 주류 브라우저와 서버에서 지원함.

  • URL의 시작이 https://임.

  • HTTPS를 사용할 때, 모든 HTTP 요청과 응답 데이터는 네트워크로 보내지기 전에 암호화 됨.

  • HTTPS는 HTTP의 하부에 전송 레벨 암호 보안 계층을 제공함으로써 동작하는데, 이 보안 계층은 안전 소켓 계층(Secure Sockets Layer, SSL)혹은 그를 계승한 전송 계층 보안(Transport Layer Security, TLS)를 이용하여 구현됨.

    

  • 어려운 인코딩 및 디코딩 작업은 대부분 SSL 라이브러리 안에서 일어나기 때문에, 보안 HTTP를 사용하기 위해 웹 클라이언트와 서버가 프로토콜을 처리하는 로직을 크게 변경할 필요는 없음.

  • 대부분의 경우, TCP 입력/출력 호출을 SSL 호출로 대체하고, 보안 정보를 설정하고 관리하기 위한 몇 가지 호출을 추가하면 됨.

디지털 암호학

<aside> 💡 SSL과 HTTPS에서 이용되는 암호 인코딩 기법에 대해 약간의 배경 지식을 알아보자.

</aside>

• 암호법은 메시지 인코딩과 디코딩에 대한 기술임.

• 암호법은 단순히 메시지를 암호화하는 것뿐 아니라, 메시지의 변조를 방지하기 위해 사용할 수 있음.

  • 누군가가 정말로 어떤 메시지나 트랜잭션의 저자임을 증명하는 데도 사용될 수 있음.

• 암호(Cipher)

  • 암호란 메시지를 인코딩하는 어떤 특정한 방법과 나중에 그 비밀 메시지를 디코딩하는 방법임.

  • 인코딩되기 전의 원본 메시지는 흔히 텍스트 혹은 평문이라 부르며, 암호가 적용되어 코딩된 메시지를 보통 암호문이라고 부름.

    

• 암호 기계

  • 옛날엔 수기로 암호를 해독했다면 현재는 기술의 진보로 보다 복잡한 암호로 메시지를 빠르고 정확하게 인코딩하고 디코딩하는 기계를 만들기 시작함.
  • 암호 기계는 암호를 어렵게 하기 위해, 단순히 회전을 하는 대신 글자들을 대체하고, 그 순서를 바꾸었으며, 메시지를 자르고 토막냄.

• 키가 있는 암호

  • 적의 손에 암호 알고리즘과 기계가 들어갈 수 있기 때문에, 대부분의 기계들에는 암호의 동작방식을 변경할 수 있는 큰 숫자로 된 다른 값을 설정할 수있는 다이얼이 달려있음. 누군가 기계를 훔치더라도, 올바른 다이얼 설정(키 값)이 없이는 디코더가 동작하지 않을 것임.

  • 이러한 암호 매개변수를 키라고 부름. 디코딩 과정을 바르게 동작시키려면 올바른 키를 암호 기계에 입력할 필요가 있음.

  • 암호 키는 하나의 암호 기계를 여러 가상 암호 기계의 집합처럼 만들어주며, 이 가상 암호 기계들은 서로 다른 키 값을 갖고 있기에 제각각 다르게 동작함.

    

    다른 키를 사용하는 N번-회전 암호

• 디지털 암호

  • 디지털 계산의 도래로, 두 가지 주요한 발전이 있었음.

  • 속도 및 기능에 대한 기계 장치의 한계를 벗어남으로써, 복잡한 인코딩과 디코딩 알고리즘이 가능해짐.

  • 매우 큰 키를 지원하는 것이 가능해져서, 단일 암호 알고리즘으로 키의 값마다 다른 수조 개의 가상 암호 알고리즘을 만들어낼 수 있게 됨. 이는 무작위 크래킹을 어렵게 함.

  • 기계 장치의 물리적인 금속 키나 다이얼 설정과는 달리, 디지털 키는 그냥 숫자에 불과함.

    

    평문은 인코딩 키 e로 인코딩되고, 디코딩 키 d로 디코딩됨.

대칭키 암호법

<aside> 💡 어떻게 키와 암호가 함께 동작하는지 얘기해보자.

</aside>

• 대칭키는 인코딩할 때 사용하는 키가 디코딩할 때와 같음.
• 대칭키 암호에서, 발송자와 수신자 모두 통신을 위해 비밀 키를 똑같이 공유해야 함.
• 발송자는 공유된 비밀 키를 메시지를 암호화하고 수신자에게 발송함.