HTTPS와 SSL 인증서로 웹 서버 보안 강화 - 코딩과 함께 배우는 네트워크 13일차

Securing Web Server with HTTPS and SSL Certificates - Learning Network with Coding Day 13

• 데이터 암호화 (Confidentiality)
  클라이언트(웹 브라우저)와 서버 간에 주고받는 모든 데이터를 암호화하여, 중간에 가로채더라도 내용을 알 수 없게 합니다.
• 서버 인증 (Authentication)
  클라이언트가 접속하려는 서버가 정말 신뢰할 수 있는 진짜 서버인지 확인시켜 줍니다. (가짜 은행 사이트 접속 방지 등)
• 데이터 무결성 (Integrity)
  데이터가 전송 중에 위변조되지 않았음을 보장합니다.

SSL 인증서

• 서비스의 도메인 이름
  인증서가 발급된 웹사이트의 주소.
• 서버의 공개키
  데이터 암호화 및 해독에 사용될 공개키.
• 인증 기관(CA)의 이름 및 서명
  어떤 CA가 이 인증서를 발급하고 보증하는지 나타내는 디지털 서명.
• 인증서의 유효 기간
  인증서가 유효한 시작 날짜와 만료 날짜.
• 일련번호
  인증서 고유 식별 번호.

• 도메인 검증 (DV, Domain Validated)
  가장 기본적인 수준으로, 신청자가 해당 도메인의 소유권을 가지고 있는지만 확인하고 발급합니다.
  빠르고 저렴합니다.
• 조직 검증 (OV, Organization Validated)
  도메인 소유권뿐만 아니라 신청 조직(회사 등)의 실존 여부까지 확인합니다.
  DV보다 신뢰도가 높습니다.
• 확장 검증 (EV, Extended Validation)
  가장 엄격한 검증 절차를 거치며, 웹 브라우저 주소창에 회사 이름이 녹색으로 표시되는 등 시각적인 신뢰 표시를 제공합니다.
  (최근 브라우저에서는 EV 인증서의 특별한 시각적 표시는 줄어드는 추세입니다.)

• OpenSSL 공식 사이트↗
• 윈도우용 OpenSSL 바이너리 제공처↗

1. 개인키(Private Key) 생성 (server.key)

   openssl genrsa -out server.key 2048

   • genrsa: RSA 개인키를 생성하는 명령어입니다.
   • -out server.key: 생성된 개인키를 server.key라는 파일로 저장합니다.
   • 2048: 2048비트 길이의 키를 생성합니다. (일반적으로 권장되는 길이)
2. 인증서 서명 요청(CSR - Certificate Signing Request) 생성 (server.csr)

   openssl req -new -key server.key -out server.csr

   • req: 인증서 요청 및 생성 관련 명령어입니다.
   • -new: 새로운 CSR을 생성합니다.
   • -key server.key: 위에서 생성한 개인키(server.key)를 사용합니다.
   • -out server.csr: 생성된 CSR을 server.csr 파일로 저장합니다.
   • 이 명령을 실행하면 국가, 도시, 회사 이름, 도메인 이름(Common Name) 등을 입력하라는 메시지가 나옵니다. 로컬 테스트용이므로 간단히 입력하거나 엔터를 눌러 기본값으로 넘어가도 됩니다.
     Common Name에는 localhost를 입력하는 것이 좋습니다.
3. 자체 서명 인증서(Self-Signed Certificate) 생성 (server.crt)

   openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

   • x509: X.509 표준 인증서 처리 명령어입니다.
   • -req: 입력이 CSR임을 나타냅니다.
   • -days 365: 인증서의 유효 기간을 365일로 설정합니다.
   • -in server.csr: 위에서 생성한 CSR(server.csr)을 입력으로 사용합니다.
   • -signkey server.key: 개인키(server.key)로 서명합니다. (자체 서명)
   • -out server.crt: 생성된 인증서를 server.crt 파일로 저장합니다.

SSL 인증서 생성

import http.server # 기본적인 HTTP 서버 기능을 제공하는 모듈
import ssl # SSL/TLS 기능을 제공하는 모듈
import socketserver # 고급 소켓 서버 기능을 제공하는 모듈 (여기서는 TCP 서버 기반)
 
  # 서버 설정
HOST = 'localhost' # 또는 '0.0.0.0' (모든 인터페이스에서 접속 허용)
PORT = 8443        # HTTPS 기본 포트는 443이지만, 테스트용으로 다른 포트 사용
 
  # 사용할 SSL 인증서 파일 경로 (위에서 생성한 파일들)
CERT_FILE = 'server.crt' # 자체 서명 인증서 파일
KEY_FILE = 'server.key'  # 개인키 파일
 
  # 간단한 요청 핸들러 정의 (기본 SimpleHTTPRequestHandler 사용)
  # 이 핸들러는 현재 디렉터리의 파일들을 웹으로 제공합니다.
Handler = http.server.SimpleHTTPRequestHandler
 
  # TCP 서버 생성 (아직 SSL 적용 전)
  # socketserver.TCPServer를 사용하면 다중 요청 처리가 더 용이합니다.
httpd = socketserver.TCPServer((HOST, PORT), Handler)
 
  # SSL 컨텍스트 생성 및 설정
  # ssl.PROTOCOL_TLS_SERVER는 최신 TLS 프로토콜 버전을 사용하도록 권장됩니다.
ssl_context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
  # 생성한 인증서 파일과 개인키 파일을 로드합니다.
ssl_context.load_cert_chain(certfile=CERT_FILE, keyfile=KEY_FILE)
 
  # 생성한 TCP 서버 소켓을 SSL 소켓으로 래핑(Wrapping)합니다.
httpd.socket = ssl_context.wrap_socket(httpd.socket, server_side=True)
 
print(f"[*] HTTPS 서버가 https://{HOST}:{PORT} 에서 실행 중입니다...")
print("[*] 웹 브라우저에서 위 주소로 접속하세요.")
print("[*] (자체 서명 인증서이므로 브라우저에서 보안 경고가 나타날 수 있습니다.)")
print("[*] Ctrl+C를 눌러 서버를 종료할 수 있습니다.")
 
try:
    # 서버 실행 (요청을 계속 처리)
    httpd.serve_forever()
except KeyboardInterrupt:
    print("\n[*] HTTPS 서버를 종료합니다.")
finally:
    httpd.server_close() # 서버 소켓 닫기
    print("[*] 서버가 안전하게 종료되었습니다.")

• ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
  SSL/TLS 통신 설정을 위한 컨텍스트 객체를 만듭니다.
  PROTOCOL_TLS_SERVER는 서버 측에서 TLS 프로토콜을 사용하겠다는 의미이며, 보안상 권장되는 설정입니다.
• ssl_context.load_cert_chain(certfile=CERT_FILE, keyfile=KEY_FILE)
  우리가 생성한 인증서 파일(server.crt)과 개인키 파일(server.key)을 SSL 컨텍스트에 로드합니다.
• ssl_context.wrap_socket(httpd.socket, server_side=True)
  기존의 일반 TCP 소켓을 SSL 소켓으로 감싸서 암호화 통신이 가능하도록 만듭니다.
  server_side=True는 이 소켓이 서버 측 소켓임을 나타냅니다.

1. 위 OpenSSL 명령어로 server.key와 server.crt 파일을 먼저 생성합니다.
2. 위 Python 코드를 https_server.py와 같이 저장합니다. (인증서 파일들과 같은 디렉터리에 저장하면 경로 지정이 편합니다.)
3. 터미널에서 python https_server.py 명령으로 서버를 실행합니다.

https 서버 실행

1. 웹 브라우저 실행

   크롬, 파이어폭스, 엣지 등 웹 브라우저를 엽니다.
2. 주소 입력

   주소창에 https://localhost:8443 (또는 설정한 HOST와 PORT)을 입력하고 엔터를 칩니다. http가 아닌 https로 시작해야 합니다!
3. 보안 경고 확인 (자체 서명 인증서의 경우)

   :
   • 자체 서명 인증서를 사용했기 때문에, 브라우저는 이 인증서를 신뢰할 수 없다는 보안 경고를 표시할 가능성이 매우 높습니다. (예: "연결이 비공개로 설정되어 있지 않습니다", "경고: 잠재적인 보안 위험Ahead")
   • 이는 정상적인 현상입니다. CA로부터 발급받은 인증서가 아니기 때문입니다.
   • 경고 페이지에서 "고급(Advanced)" 또는 "위험을 감수하고 진행(Proceed to localhost (unsafe))" 등의 옵션을 클릭하여 예외적으로 사이트에 접속합니다.
   

   보안 경고 확인
4. 자물쇠 아이콘 및 인증서 정보 확인

   :
   • 경고를 지나 사이트에 접속되면, 주소창 옆에 자물쇠 아이콘이 (보통은 경고 표시와 함께) 나타나는지 확인합니다.
   • 자물쇠 아이콘을 클릭하면 연결이 안전하지 않다는 메시지와 함께 인증서 정보를 볼 수 있는 옵션이 나옵니다.
   • 인증서 정보를 열어보면 우리가 OpenSSL로 생성할 때 입력했던 정보(Common Name: localhost 등)와 발급자(Issuer) 정보가 자신으로 되어 있는 것을 확인할 수 있습니다.
   

   인증서 정보
   

   인증서 세부정보

• 보안
  민감한 정보(로그인 정보, 개인 정보, 금융 정보 등)를 암호화하여 안전하게 보호합니다.
• 사용자 신뢰
  웹사이트 주소창의 자물쇠 아이콘은 사용자에게 해당 사이트가 안전하다는 신뢰감을 줍니다.
• 검색 엔진 최적화 (SEO)
  구글과 같은 주요 검색 엔진은 HTTPS를 사용하는 웹사이트에 약간의 순위 가산점을 부여합니다.
• 최신 웹 기술 사용
  HTTP/2와 같은 최신 프로토콜이나 일부 브라우저 API(예: Geolocation API, Service Workers)는 HTTPS 환경에서만 동작하는 경우가 많습니다.

다음 시간에는 지금까지 배운 네트워크 지식을 총정리하고, 앞으로 더 깊이 있는 학습을 위한 로드맵을 그려보는 시간을 갖겠습니다.

• Cloudflare - SSL이란 무엇인가요? | SSL 인증서 작동 방식↗
• Let's Encrypt - How It Works↗ (무료 SSL 인증서 발급 기관의 동작 방식 설명)
• OpenSSL - Official Website↗ (OpenSSL 프로젝트 홈페이지)
• Python 공식 문서 - ssl — 소켓 개체용 TLS/SSL 래퍼↗