HTTPS — 웹 주소의 작은 s가 하는 일

웹 주소를 자세히 보면 http 뒤에 작은 s가 붙어 있는 경우가 많다. 화면의 글과 사진은 비슷하게 보이는데 무엇이 달라지는 걸까. 이 차이는 사이트의 디자인보다 브라우저와 서버 사이에서 정보가 오가는 방식에 있다.

HTTPS는 HTTP 통신을 TLS라는 보안 프로토콜로 보호하는 방식이다. 이름이 조금 길지만 세 가지 질문으로 나누면 이해하기 쉽다. 중간에서 내용을 읽기 어렵게 하는가, 몰래 바꾸면 알아챌 수 있는가, 연결한 서버가 해당 이름의 서버인지 확인하는가.

01. 정보는 두 곳 사이를 이동한다

브라우저에서 페이지를 열면 요청과 응답이 네트워크를 거친다. 중간의 연결을 모두 믿을 수 있는 상황만 있는 것은 아니다. 민감한 정보뿐 아니라 일반적인 페이지도 이동 중의 보호가 필요할 수 있다.

HTTPS는 이 통신 구간에서 주고받는 데이터를 암호화한다. 전달 중인 내용을 허락 없이 읽기 어렵게 만드는 것이다. 편지를 봉투에 넣는 비유가 첫 이해에는 도움이 되지만 실제 기술은 종이 봉투의 물리적 보호와 같지 않다. 여기서는 무엇을 보호하려는지에 초점을 맞추면 된다.

02. 읽지 못하게 하는 것과 바꾸지 못하게 하는 것

정보를 숨기는 기능만으로는 충분하지 않다. 중간에서 응답 내용을 몰래 바꾸었을 때도 이를 알아챌 수 있어야 한다. MDN은 이를 무결성의 문제로 설명한다. 전달하는 데이터가 눈에 띄지 않게 변조되는 일을 막기 위한 성질이다.

예를 들어 받은 문장에 다른 단어가 끼어들었다면 원래 서버의 말인지 알기 어렵다. 정보의 내용이 잘 보이지 않게 하는 일과 정보가 바뀌었는지 확인하는 일은 다른 역할이다. TLS는 이런 여러 보호를 함께 제공하도록 설계되어 있다.

03. 누구와 연결하는지도 확인한다

아무 상대와 안전하게 이야기한다고 충분한 것은 아니다. 내가 접속하려던 이름의 서버인지 확인하는 단계도 필요하다. 웹에서는 보통 서버가 브라우저에 자신을 인증한다. 방문자 개인이 TLS 인증서로 매번 자신을 증명하는 것이 일반적인 방식은 아니다.

이때 디지털 인증서는 사이트의 도메인 이름과 암호 통신에 쓰는 키를 연결한다. 브라우저는 이를 검사해 연결의 상대를 확인한다. 사이트의 이름을 확인하는 일과 그곳에 쓰인 모든 글이 사실인지 평가하는 일은 여전히 다르다.

04. 처음 연결할 때 나누는 약속

TLS 통신은 처음부터 아무 준비 없이 이어지지 않는다. 연결 초기에 사용할 방식과 필요한 보안 조건을 정하는 과정이 있다. 이를 핸드셰이크라고 한다. 악수를 한다는 이름이지만 사람끼리 인사하는 모습과 정확히 같은 절차는 아니다.

이 과정을 거쳐 통신에 사용할 조건과 키를 마련한다. 독자가 암호 알고리즘의 이름을 외울 필요는 없다. 공통의 보호 방식에 합의하고 실제 데이터를 주고받기 위한 준비가 있다는 정도면 작은 s가 뜻하는 변화가 좀 더 구체적으로 느껴진다.

05. 보호는 어느 구간에 적용될까

HTTPS는 브라우저와 서버 사이로 이동하는 정보를 보호한다. 따라서 서버에 도착한 뒤 그 회사가 정보를 어떻게 보관하고 사용하는지까지 같은 기술이 자동으로 보증하지는 않는다. 내 기기에서 이미 누군가가 화면을 볼 수 있는 문제도 별도로 있다.

이것은 HTTPS가 부족하니 의미 없다는 말이 아니다. 우편이 운송 중에 안전한 것과 받은 사람이 편지를 어떻게 보관하는지가 다른 질문인 것처럼, 역할의 범위가 다른 것이다. 보호하는 구간을 알면 한 기술에 모든 책임을 기대하지 않고 그 가치를 정확히 이해할 수 있다.

06. 내용이 정직하다는 도장일까

가짜 설명을 쓰거나 잘못된 물건을 파는 사이트도 암호화된 연결을 사용할 수 있다. 해당 도메인과 통신 중이라는 확인은 운영자의 모든 행동을 신뢰하라는 추천이 아니다. 안전한 연결과 믿을 만한 상대는 나누어 살펴야 한다.

주소의 작은 s를 중요한 기본 조건으로 보면서도 글의 출처와 서비스의 운영 정보는 별도로 읽을 수 있다. HTTPS의 뜻을 이해하는 일은 불안을 키우는 기술 공부보다, 서로 다른 확인이 무엇을 알려 주는지 구별하는 데 가깝다.

07. 페이지 안의 자료도 같은 보호가 필요하다

한 페이지에는 본문뿐 아니라 이미지와 프로그램 파일 등 여러 자료가 포함된다. 본문은 HTTPS로 받아도 다른 자료를 보호되지 않은 연결로 가져오면 페이지 전체의 보호에 문제가 생길 수 있다. 그래서 브라우저는 이런 혼합 콘텐츠를 제한한다.

이 원리는 중요한 서류 한 장만 봉하고 나머지는 그대로 보내는 상황을 떠올리면 쉽다. 화면에서 한 장의 페이지로 보이더라도 여러 통신이 모인 결과다. 사이트를 만드는 쪽은 그 자료들까지 함께 보호되도록 준비해야 한다.

08. 작은 표시를 조금 더 정확하게 읽기

함께 실은 AI 삽화는 공유 공간에서 봉투에 담긴 말을 나누는 분위기를 표현했다. 실제 네트워크나 암호화 구조를 보여 주는 도식은 아니다. 브라우저의 표시 모양도 제품과 버전에 따라 바뀔 수 있으므로 그림을 설정 안내처럼 사용할 필요는 없다.

작은 s는 웹페이지의 내용이 아니라 오가는 길을 다르게 만든다. 읽기 어렵게 하고, 바뀐 것을 알아채며, 해당 이름의 서버와 연결했는지 확인하는 약속이다. 뜻을 나누어 알면 익숙한 웹 주소에서도 편리함을 가능하게 하는 조용한 기술이 보인다.