HTTPS는 HTTP와 무엇이 다른가?

HTTP에 SSL/TLS 프로토콜을 추가해 데이터를 암호화한 것이다. 암호화와 인증으로 도청과 변조, 위조를 막는다.

전송 계층 위에 TLS라는 보안 계층을 얹은 구조다. 클라이언트가 서버를 확인하고 양쪽이 같은 대칭키를 갖게 되는 과정이 핵심이다. 서버가 클라이언트를 확인하는 것은 기본이 아니다. 그것이 필요하면 mTLS를 따로 켠다.

데이터는 대칭키로 암호화한다. 다만 그 대칭키를 비대칭키로 실어 보내지는 않는다.

요즘 흔한 (EC)DHE라면 양쪽이 각자 값을 내고 합쳐 공유 비밀을 만든 뒤 거기서 대칭키를 뽑는다. 어떤 방식을 쓰는지는 TLS 버전과 고른 암호 스위트에 달렸다. 공개키는 서버가 인증서의 주인임을 서명으로 보이는 데 쓴다.

인증서 기관(CA)의 서명으로 서버가 가짜가 아님을 보증한다. 인증서가 없으면 암호화는 가능해도 상대가 누구인지 알 수 없어 피싱에 취약하다.