HTTPS

HTTPS (HyperText Transfer Protocol Secure)

개요

HTTPS는 HTTP에 SSL/TLS 암호화를 적용하여 데이터를 안전하게 주고받는 프로토콜이다. (포트 443)

평소 우리가 웹사이트를 이용할 때, 브라우저 주소창에 자물쇠 아이콘이 보이는 것, 보신 적 있죠? 그게 바로 HTTPS가 적용된 사이트라는 표시예요.

HTTP는 데이터를 평문(Plain Text)으로 전송해요. 비유하면, 엽서에 내용을 그대로 적어서 보내는 거예요 — 우체부든 중간에 누구든 내용을 볼 수 있어요. 반면 HTTPS는 편지 봉투에 넣고 잠금장치까지 채워서 보내는 거예요. 중간에 누가 가로채도 내용을 볼 수 없죠!

HTTP vs HTTPS 비교

항목	HTTP	HTTPS
정식명	HyperText Transfer Protocol	HyperText Transfer Protocol Secure
포트	80	443
암호화	없음 (평문 전송)	SSL/TLS 암호화
인증서	불필요	SSL/TLS 인증서 필요
데이터 보호	도청, 변조 가능	도청, 변조 불가
SEO	불리	유리 (Google 랭킹 요소)
브라우저 표시	"주의 요함"	자물쇠 아이콘
속도	약간 빠름	약간 느림 (암호화 오버헤드)
비유	엽서	밀봉 편지

요즘은 HTTPS가 사실상 필수예요. Google Chrome은 HTTP 사이트에 접속하면 "주의 요함"이라고 경고를 보여주고, Google 검색 결과에서도 HTTPS 사이트가 더 높은 순위를 받아요. 또한 HTTP/2, HTTP/3 같은 최신 프로토콜도 HTTPS 위에서만 동작해요.

HTTPS 통신 과정 (TLS Handshake)

sequenceDiagram
    participant 브라우저 as 👤 브라우저
    participant 서버 as 🖥️ Nginx 서버

    Note over 브라우저,서버: 🤝 TLS Handshake 시작

    브라우저->>서버: ① Client Hello<br/>(지원하는 암호화 방식 목록)
    서버-->>브라우저: ② Server Hello<br/>(선택한 암호화 방식 + 인증서)

    Note over 브라우저: ③ 인증서 검증<br/>(CA에게 진짜인지 확인)

    브라우저->>서버: ④ 대칭키 교환<br/>(공개키로 암호화하여 전송)
    서버-->>브라우저: ⑤ Handshake 완료

    Note over 브라우저,서버: 🔐 암호화 통신 시작!

    브라우저->>서버: 암호화된 HTTP 요청
    서버-->>브라우저: 암호화된 HTTP 응답
Mermaid
복사

이 과정을 좀 더 쉽게 풀어볼게요:

Client Hello — 브라우저가 "안녕! 나는 이런 암호화 방식들을 사용할 수 있어!" 하고 서버에게 말해요.

Server Hello — 서버가 "좋아, 이 방식으로 하자! 그리고 이게 내 신분증(인증서)이야!" 하고 응답해요.

인증서 검증 — 브라우저가 서버의 인증서가 진짜인지 CA(인증기관)를 통해 확인해요.

대칭키 교환 — 실제 데이터 암호화에 사용할 비밀 키를 안전하게 교환해요.

암호화 통신 — 이제부터 모든 데이터가 암호화되어 전송돼요!

이 전체 과정은 밀리초(ms) 단위로 순식간에 이루어져요. 사용자는 전혀 느끼지 못하죠!

암호화 방식

graph TD
    A[암호화 방식] --> B[대칭키 암호화<br/>Symmetric]
    A --> C[비대칭키 암호화<br/>Asymmetric]

    B --> B1["같은 키로 암호화 + 복호화<br/>🔑 = 🔑"]
    B --> B2["장점: 빠름<br/>단점: 키 전달 문제"]
    B --> B3["예: AES-256"]

    C --> C1["공개키로 암호화<br/>개인키로 복호화<br/>🔑 ≠ 🗝️"]
    C --> C2["장점: 키 전달 안전<br/>단점: 느림"]
    C --> C3["예: RSA, ECDSA"]

    style B fill:#90EE90
    style C fill:#87CEEB
Mermaid
복사

구분	대칭키 암호화	비대칭키 암호화
키 개수	1개 (같은 키)	2개 (공개키 + 개인키)
속도	빠름	느림
용도	실제 데이터 암호화	키 교환, 인증서 서명
비유	같은 열쇠로 잠그고 여는 금고	우체통 (누구나 넣지만, 열쇠 가진 사람만 열 수 있음)

HTTPS는 이 두 가지를 조합해서 사용해요! 처음에 비대칭키로 안전하게 대칭키를 교환한 다음, 실제 데이터는 빠른 대칭키로 암호화해서 주고받아요. 이걸 하이브리드 암호화라고 해요.

HTTPS 전체 구조

graph TB
    subgraph "HTTPS = HTTP + TLS"
        A[HTTP 데이터<br/>요청/응답 내용] --> B[TLS 암호화 계층<br/>데이터 암호화 + 무결성]
        B --> C[TCP 전송 계층<br/>안정적 데이터 전달]
        C --> D[IP 네트워크 계층<br/>패킷 라우팅]
    end

    style A fill:#FFB3B3
    style B fill:#90EE90
    style C fill:#87CEEB
    style D fill:#FFD700
Mermaid
복사

계층	프로토콜	역할
응용 계층	HTTP	웹 페이지 요청/응답 내용
보안 계층	TLS (SSL)	데이터 암호화, 인증, 무결성
전송 계층	TCP	안정적인 데이터 전달 보장
네트워크 계층	IP	패킷을 목적지까지 전달

Nginx HTTPS 기본 설정

server {
    listen 443 ssl;
    server_name example.com;

    # SSL 인증서 경로
    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # 권장 TLS 설정
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    root /var/www/html;
    index index.html;
}

# HTTP → HTTPS 리다이렉트 (필수!)
server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}
Plain Text
복사

HTTP(80 포트)로 들어온 요청을 HTTPS(443 포트)로 자동 리다이렉트 해주는 설정은 거의 필수예요! 사용자가 http://로 접속해도 자동으로 https://로 넘어가게 해주거든요.

핵심 정리

HTTPS = HTTP + SSL/TLS 암호화 (포트 443)

TLS Handshake: 인증서 확인 → 키 교환 → 암호화 통신 시작

하이브리드 암호화: 비대칭키로 대칭키를 교환, 이후 대칭키로 통신

필수인 이유: 보안, SEO, 브라우저 경고 방지, HTTP/2 지원

Nginx에서 listen 443 ssl + 인증서 설정으로 적용