HTTP 와 HTTPS

 

HTTP(Hyper Text Transfer Protocol)

- 서버/클라이언트 모델을 따라 데이터를 주고 받기 위한 프로토콜

- 인터넷에서 하이퍼텍스트를 교환하기 위한 통신 규약

- 80번 포트 사용 

인터넷 초기에 모든 웹사이트에서 기본적으로 사용되었던 프로토콜이기도 하다.

---

HTTPS(Hyper Text Transfer Protocol Secure)

- HTTP에 데이터 암호화가 추가된 프로토콜

- HTTP와 다르게 443번 포트를 사용

- 네트워크 상에서 중간에 제3자가 정보를 볼 수 없도록 암호화를 지원

기존의 http에서는 서버에서부터 브라우저로 전송되는 정보가 암호화되지 않아 보안에 취약했는데 HTTPS 프로토콜은 SSL을 사용하므로써 이러한 보안문제를 해결했다. 

SSL

서버와 브라우저 사이에 안전하게 암호화된 연결을 만들 수 있게 도와주며 민감정보를 주고받을때 도난을 막는다. 

 

[ HTTPS의 동작 과정 ]

HTTPS는 대칭키 암호화와 비대칭키 암호화를 모두 사용하여 빠른 연산 속도와 안정성을 모두 얻고 있다.

HTTPS 연결 과정(Hand-Shaking)에서는 먼저 서버와 클라이언트 간에 세션키를 교환한다. 여기서 세션키는 주고 받는 데이터를 암호화하기 위해 사용되는 대칭키이며, 데이터 간의 교환에는 빠른 연산 속도가 필요하므로 세션키는 대칭키로 만들어진다.
문제는 이 세션키를 클라이언트와 서버가 어떻게 교환할 것이냐 인데, 이 과정에서 비대칭키가 사용된다.

즉, 처음 연결을 성립하여 안전하게 세션키를 공유하는 과정에서 비대칭키가 사용되는 것이고, 이후에 데이터를 교환하는 과정에서 빠른 연산 속도를 위해 대칭키가 사용되는 것이다.

 

대칭키 vs 공개키(비대칭키)

• 대칭키 암호화 방식 : 암호화 복호화에 사용하는 키가 동일함
• 공개키 암호화 방식 : 암복호화에 사용하는 키가 서로 다르며 비대칭키 암호화라고도 함

대칭키 / 공개키 

---

 

 

 

HTTP는 암호화가 추가되지 않았기 때문에 보안에 취약한 반면, HTTPS는 안전하게 데이터를 주고받을 수 있다. 하지만 HTTPS를 이용하면 암호화/복호화의 과정이 필요하기 때문에 HTTP보다 속도가 느리다. (물론 오늘날에는 거의 차이를 못느낄 정도이다.) 또한 HTTPS는 인증서를 발급하고 유지하기 위한 추가 비용이 발생하다.

그렇다면 언제 HTTP를 쓰고, 언제 HTTPS를 쓰는 것이 좋겠는가?

개인 정보와 같은 민감한 데이터를 주고 받아야 한다면 HTTPS를 이용해야 하지만, 노출이 되어도 괜찮은 단순한 정보 조회 등 만을 처리하고 있다면 HTTP를 이용하면 된다.

 

참고 

https://mangkyu.tistory.com/98