조용한 개발 노트

HTTPS면 안전하다는 착각많은 시스템에서 보안 점검은 다음 한 문장으로 요약된다.HTTPS를 쓰고 있으니 안전하다HTTPS와 TLS는 분명 중요한 보안 장치다. 하지만 이 문장은 절반만 맞다.Transport Security는 전송 중인 데이터를 보호할 뿐, 시스템 전체를 보호하지는 않는다.Transport Security의 역할은 무엇인가Transport Security의 목적은 명확하다.도청 방지(Confidentiality)변조 방지(Integrity)상대방 확인(Authentication)즉, 네트워크 구간에서 데이터가 안전하게 전달되도록 보장한다.이 보장은 전송 구간에만 한정된다.TLS는 무엇을 보호하지 않는가TLS는 강력하지만, 다음 문제들을 해결하지 않는다.탈취된 Token 사용과도한 권한..

HTTPS는 이제 선택이 아니라 기본입니다.대부분의 서비스는 TLS 위에서 동작하고, 평소에는 그 존재를 거의 의식하지 않습니다.하지만 지연을 추적하다 보면, TLS가 요청 처리 이전에 꽤 많은 일을 하고 있다는 사실을 마주하게 됩니다.이 편에서는 TLS가 어떤 비용을 요구하고, 그 비용이 언제 지연으로 드러나는지를 정리합니다.1. TLS는 요청을 보내기 전에 끝나야 한다TLS는 HTTP 요청을 보내기 전에 연결의 안전성을 먼저 합의해야 합니다.이 과정에는 다음 단계가 포함됩니다.암호 스위트 협상서버 인증서 검증키 교환즉, TLS handshake가 끝나기 전에는 애플리케이션 데이터는 한 바이트도 전송되지 않습니다.이 과정은 추가 RTT를 요구합니다.2. TLS handshake는 생각보다 무겁다TLS ..