[DevOps] HTTP와 HTTPS 차이점

HTTP와 HTTPS는 무엇이 다를까?

웹사이트 주소를 보면 앞부분에 http:// 또는 https://가 붙어 있습니다.

http://example.com
https://example.com

 

둘 다 웹사이트에 접속할 때 사용하는 통신 방식입니다.

차이는 단순합니다.

HTTPS는 HTTP에 보안이 추가된 방식입니다.

---

HTTP란?

HTTP(HyperText Transfer Protocol)는 브라우저와 서버가 데이터를 주고받기 위한 통신 규칙입니다.

브라우저에서 웹사이트에 접속하면 브라우저는 서버에 요청을 보내고, 서버는 그 요청에 대한 응답을 반환합니다.

브라우저
↓ 요청
서버
↓ 응답
브라우저 화면 출력

 

우리가 웹페이지를 열거나, 버튼을 누르거나, 데이터를 조회할 때 대부분 이런 요청과 응답이 반복됩니다.

 

---

HTTP의 문제점

HTTP는 데이터를 암호화하지 않은 상태로 주고받습니다.

즉 중간에서 통신 내용을 가로챌 수 있다면 사용자가 입력한 정보가 그대로 노출될 수 있습니다.

 

로그인 ID, 비밀번호, 개인정보, 결제 정보처럼 민감한 데이터를 다루는 서비스라면 HTTP만으로는 안전하지 않습니다.

이 문제를 해결하기 위해 HTTPS가 사용됩니다.

---

HTTPS란?

HTTPS(HyperText Transfer Protocol Secure)는 HTTP에 보안 계층을 추가한 방식입니다.

 

브라우저와 서버가 데이터를 주고받을 때 내용을 암호화해서 전송합니다.

그래서 중간에서 데이터를 가로채더라도 실제 내용을 쉽게 확인할 수 없습니다.

 

요즘 대부분의 웹사이트가 HTTPS를 기본으로 사용하는 이유도 이 때문입니다.

HTTP  = 암호화되지 않은 통신
HTTPS = 암호화된 통신

 

 

---

HTTPS에는 SSL/TLS 인증서가 필요하다

HTTPS를 사용하려면 SSL/TLS 인증서가 필요합니다.

인증서는 쉽게 말하면 이 서버가 신뢰할 수 있는 서버인지 확인해주는 증명서입니다.

 

브라우저는 웹사이트에 접속할 때 인증서를 확인하고, 문제가 없다면 보안 연결을 진행합니다.

주소창에 자물쇠 아이콘이 표시되는 것도 이 HTTPS 연결이 정상적으로 적용되었다는 의미입니다.

 

AWS에서는 보통 ACM(AWS Certificate Manager)을 통해 SSL/TLS 인증서를 발급하고 관리합니다.

---

운영 환경에서는 HTTPS가 기본이다

실제 운영 서비스에서는 HTTPS 적용이 거의 필수입니다.

 

로그인이나 회원가입이 있는 서비스라면 더더욱 HTTP로 운영해서는 안 됩니다.

또한 최신 브라우저는 HTTP 사이트를 안전하지 않은 사이트로 표시하기도 합니다.

 

검색 엔진, 사용자 신뢰도, 보안 측면을 모두 고려하면 HTTPS는 선택이 아니라 기본 설정에 가깝습니다.

---

AWS에서는 어디에 HTTPS를 적용할까?

AWS 환경에서는 보통 ALB나 CloudFront 앞단에 HTTPS를 적용합니다.

예를 들어 일반적인 구조는 아래와 같습니다.

사용자
↓ HTTPS
ALB
↓ HTTP 또는 HTTPS
EC2

 

사용자는 HTTPS로 안전하게 ALB에 접속하고, ALB는 내부 서버인 EC2로 요청을 전달합니다.

이때 운영 정책에 따라 ALB에서 EC2까지도 HTTPS로 구성할 수 있고, 내부 통신은 HTTP로 처리하는 경우도 있습니다.

 

중요한 것은 외부 사용자가 접근하는 구간에는 반드시 HTTPS를 적용해야 한다는 점입니다.

 

---

HTTP에서 HTTPS로 리다이렉트하는 이유

운영 사이트에서는 사용자가 http:// 주소로 접속하더라도 자동으로 https:// 주소로 이동되도록 설정하는 경우가 많습니다.

이를 HTTP to HTTPS 리다이렉트라고 합니다.

http://example.com
↓
https://example.com

 

AWS ALB에서는 80번 포트로 들어온 HTTP 요청을 443번 포트의 HTTPS로 리다이렉트하도록 설정할 수 있습니다.

이렇게 구성하면 사용자가 실수로 HTTP 주소를 입력해도 최종적으로는 HTTPS로 접속하게 됩니다.

---

마무리

HTTP는 브라우저와 서버가 데이터를 주고받기 위한 기본 통신 방식입니다.

HTTPS는 HTTP에 암호화와 인증서 기반 보안이 추가된 방식입니다.

 

운영 환경에서는 HTTPS 적용이 기본이며, 특히 로그인이나 개인정보를 다루는 서비스에서는 반드시 필요합니다.

정리하면 아래 흐름으로 이해하면 됩니다.

HTTP  → 암호화 없음
HTTPS → SSL/TLS 인증서를 사용한 암호화 통신

 

---