github-blog.png


✍️ Today I Learned


1. HTTPS

  • HTTP는 웹 환경에서 브라우저와 웹서버가 통신하는 방법이란걸 이전에 학습하였다. 그렇다면 HTTPS는 무엇일까?

    스크린샷, 2021-11-22 21-01-59

    HTTPS (HTTP + Secure) 는 HTTP protocol의 암호화된 버전이다. 기존 HTTP 프로토콜은 주고 받는 데이터가 암호화 되지 않고 그대로 전송되는 단점이 있기에 HTTPS가 등장하였다.

  • HTTPS는 HTTP의 하부에 SSL과 같은 보안계층을 제공함으로써 동작한다.



1-1. 암호화 키(Key)

https-3

  • 위에서 HTTPS는 주고 받는 데이터를 암호화하여 데이터를 주고받는다 하였다. 이때 사용되는 암호화 알고리즘을 담은 키를 암호화 키라 부른다.

    암호화를 위한 알고리즘은 노출되지 않아야 하며, 또한 원래 데이터로 복호화 하는 과정에서도 키가 필요하다. 따라서 키는 양쪽에서 모두 분배하여 공유되어야 한다.



1-2. 인증서(Certificate)

https-6

  • 암호화시 사용되는 암호화 키를 담으며 데이터 제공자의 신원을 확인 할 수 있는 수단이다.

  • 이처럼 HTTPS 통신과정에서 중요한 인증서는 인증기관인 CA(Certificate Authority)에서 발급하고 관리를 하므로 세계적으로 신뢰받는 기관이 운영한다.



1-3. HTTPS 통신 과정

YIfy1wK



2. Hashing

  • 어떤 문자열에 임의의 ‘연산’을 적용하여 다른 문자열로 변환하는 것을 말한다.

    여러 알고리즘이 존재하나, 개념만 익히고 넘어가자.



  • 쿠키는 서버에서 클라이언트에 데이터를 저장하는 방법중 하나이다.
    웹사이트를 방문하게 되면, 사용자는 작은 정보 조각인 쿠키를 저장하게 된다.

    이 쿠키에 로그인 정보등을 담아 로그인 상태를 유지하는등의 기능이 가능하게 된다.

  • 앞서 언급한 것처럼 웹 서버는 사용자에게 쿠키를 이용하여 데이터를 저장하고 원할 때 이 데이터를 다시 불러와 사용할 수 있다.

    하지만 데이터를 저장한 이후 아무 때나 데이터를 가져올 수 없으며, 데이터를 저장한 이후 특정 조건들이 만족하는 경우에만 다시 가져올 수 있다.
    쿠키 옵션을 살펴보면 다음과 같다.



  1. Domain

    • 쿠키 옵션에서 도메인 정보가 존재한다면 클라이언트에서는 쿠키의 도메인 옵션과 서버의 도메인이 일치해야만 쿠키를 전송할 수 있다.

  2. Path

    • 세부 경로는 서버가 라우팅할 때 사용하는 경로이다.

      만약 요청해야 하는 URL이 http://www.localhost.com:3000/users/login 인 경우라면 여기에서 Path는 /users/login이다.

    • 명시하지 않으면 기본으로 / 으로 설정되어 있다.

  3. MaxAge or Expires

    • 쿠키가 유효한 기간을 정하는 MaxAge는 앞으로 몇 초 동안 쿠키가 유효한지 설정하는 옵션이다.

      Expires 은 MaxAge와 비슷하지만, 해당 옵션값은언제까지 유효한지 Date를 지정하는 차이가 있다.

  4. Secure

    • 쿠키를 전송해야 할 때 사용하는 프로토콜에 따른 쿠키 전송 여부를 결정한다.

      만약 해당 옵션이 true로 설정된 경우, ‘HTTPS’ 프로토콜을 이용하여 통신하는 경우에만 쿠키를 전송할 수 있다.

  5. HttpOnly

    • 자바스크립트에서 브라우저의 쿠키에 접근 여부를 결정한다.
      만약 해당 옵션이 true로 설정된 경우, 자바스크립트에서는 쿠키에 접근이 불가하다.

    • 명시되지 않는 경우 기본으로 false로 지정되어 있다. 만약 이 옵션이 false인 경우 자바스크립트에서 쿠키에 접근이 가능하므로 ‘XSS’ 공격에 취약해진다.

  6. SameSite

    • Cross-Origin 요청을 받은 경우 요청에서 사용한 메소드와 해당 옵션의 조합으로 서버의 쿠키 전송 여부를 결정하게 된다.

      • Lax : Cross-Origin 요청이면 GET 메소드에 대해서만 쿠키를 전송할 수 있다.

      • Strict : Cross-Origin이 아닌 same-site 인 경우에만 쿠키를 전송 할 수 있다.

      • None : 항상 쿠키를 보내줄 수 있다. 다만 쿠키 옵션 중 Secure 옵션이 필요하다.

  • 이러한 옵션들을 지정한 다음 서버에서 클라이언트로 쿠키를 처음 전송하게 된다면 헤더에 Set-Cookie라는 프로퍼티에 쿠키를 담아 전송할 수 있다.

    이후 클라이언트 혹은 서버에서 쿠키를 전송해야 한다면 클라이언트는 헤더에 Cookie라는 프로퍼티에 쿠키를 담아 서버에 쿠키를 전송하게 된다.



3-2. Cookie를 이용한 상태 유지

  • HTTP 프로토콜의 특징중 하나인 무상태성(Stateless) 은 클라이언트와 서버의 통신이 연결을 끊는 순간 상태 정보는 유지하지 않는 특성이다.

    하지만 쿠키의 등장으로 서버는 클라이언트에 인증정보를 담은 쿠키를 전송하고, 클라이언트는 전달받은 쿠키를 요청과 같이 전송하여 무상태성의 성격을 지닌 인터넷 연결을 Stateful 하게 유지할 수 있게 되었다.

  • 하지만 기본적으로는 쿠키는 MaxAge등 옵션설정으로 인해 오랜 시간 동안 유지될 수 있고, 자바스크립트를 이용해서 쿠키에 접근할 수 있기 때문에 쿠키에 민감한 정보를 담는 것은 위험하다.



🤔 Understanding

  • HTTPS 프로토콜의 등장 이유(결제 사이트등…보안성을 위한 홈페이지의 필요성)와 그를 가능하게 하는 암호화 과정, 그리고 그를 해독하기 위한 해싱이 공신력있는 CA업체에서 발급한 신뢰있는 인증서를 통한 과정이라는 개념을 학습했다. 살면서 브라우저 주소창에 자물쇠가 있었다는 걸 처음알았다

    이를 처리하는 과정에서 클라이언트/서버에서는 어떠한 프레임워크가 이뤄지는지 실습까지 이어가자.