HTTPS / TLS Handshake

HTTPS

정의

Hypertext Transfer Protocol Secure의 약어로 HTTP의 보안 버전이다. HTTP를 통해 웹 통신을 하는 과정에서 데이터의 안전한 전송을 위해 사용되며, 웹 사이트와 웹 브라우저 간의 통신을 암호화하여 데이터를 보호한다.

동작 원리

HTTPS가 동작하는 원리는 아래와 같다.

• 서버는 공개키와 개인키를 만들고, 신뢰할 수 있는 인증 기관에 자신의 사이트 정보와 공개키를 인증 요청한다.
• 인증 기관은 사이트가 제출한 정보를 검증하고, 인증 기관의 개인키로 사이트에서 제출한 정보를 암호화해서 인증서를 제작한다.
• 제작된 인증서를 서버에 발급한다.
• 인증 기관은 웹 브라우저에게 자신의 공개키를 제공한다.
• 사용자가 서버에 접속 요청을 한다.
• 서버는 인증 기관에서 발급받은 인증서를 사용자에게 전달한다.
• 사용자는 인증 기관으로부터 받은 공개키로 인증서를 검증한다.
• 인증서를 해독하여 서버의 정보와 서버의 공개키를 획득한다.
• 획득한 서버의 공개키로 대칭키를 암호화하여 전송한다.
• 전송받은 데이터를 서버 개인키로 해독하여 대칭키를 획득한다.
• 서로 획득한 대칭키를 사용하여 암호화된 정보를 주고 받는다.

SSL/TLS

정의

Secure Sockets Layer과 Transport Layer Security은 네트워크 통신을 보안하기 위해 사용되는 암호화 프로토콜이다. 초기에는 SSL를 사용하였으나 취약점이 발견되고 후속으로 TLS으로 대체되었으며 SSL 3.0을 기반으로 만들어졌다.

TLS는 현재 보안 표준으로 간주되며, TLS 1.2와 TLS 1.3이 가장 널리 사용되는 버전이다. 암호화 알고리즘과 키 교환 방법을 지원하여 클라이언트와 서버 간의 안전한 통신을 가능하게 한다. TLS는 웹 이외에도 다른 프로토콜 및 응용 프로그램에서도 사용될 수 있다.

주요 기능

• 상호 인증 : 공개키 인증서를 이용한 서버/클라이언트의 상호 인증
• 메시지 압축
• 암호화용 세션 키 생성을 위한 키 교환
• 생성된 공유 비밀키에 의해 암호화된 종단간 안전한 연결통로 제공

Handshake

• 초기 협상 단계
  • 클라이언트/서버 간에 메시지 교환
  • 클라이언트가 서버에게 사용가능한 암호화 방식과 해싱 방식을 보내고 서버 인증서를 요구
• 인증 단계
  • 서버에서 CA로부터 발급받은 인증서를 클라이언트에게 전송
  • 이때 서버는 클라이언트가 제시한 것 중 자신이 선택한 암호화 방식 및 인증서를 전송
  • 필요시 클라이언트는 CA에 접속하여 서버 인증서의 유효성 확인
• 보안 채널 형성
  • 클라이언트는 보안 채널 형성에 필요한 세션키를 만들기 위해 서버의 공개키를 이용하여 임의의 수를 암호화시켜 서버에 전송
  • 서버는 자신의 개인키로 해독
  • 이때 임의의 수로부터 마스터 키를 유도하고, 이 마스터 키로부터 서버와 클라이언트는 암호화/복호화에 필요한 세션키 생성

참고 자료

TLS Handshake는 어떻게 진행되는가? | Session Key

HTTPS란 무엇인가?

[ Linux - CentOS ] SSL,TLS의 개념