주소창에 http로 시작하는 주소를 직접 입력했는데, 화면이 뜨고 나서 보면 어느새 https로 바뀌어 있습니다. 내가 잘못 쳤나 싶지만 그렇지 않습니다. 사이트와 브라우저가 서로 약속해 둔 대로 보안 연결로 옮겨 간 것입니다. 왜 이런 전환이 일어나는지, 누가 언제 바꾸는지 차례로 살펴보겠습니다.
s 한 글자가 바꾸는 것
http와 https의 차이는 주고받는 내용을 암호로 감싸느냐에 있습니다. 감싸지 않은 연결에서는 중간에 있는 네트워크 장비가 오가는 내용을 엿보거나 바꿔 끼울 여지가 있습니다. 공용 와이파이처럼 누가 관리하는지 모르는 네트워크에서는 이 차이가 더 크게 느껴집니다.
요즘 브라우저는 주소창 앞부분을 다 보여 주지 않는 경우가 많습니다. 연결 방식을 글자 대신 자물쇠나 설정 모양 아이콘으로 표시하고, 주소창을 한 번 눌러야 https라는 글자가 드러나기도 합니다.
요즘 대부분의 공식 사이트는 보안 연결만 받도록 바뀌었습니다. 그렇다고 이용자가 매번 s를 붙여 입력하기를 기대할 수는 없으니, 사이트와 브라우저가 알아서 옮겨 주는 장치를 여러 겹으로 마련해 두었습니다.
첫 번째 장치: 서버가 보내는 이사 안내
가장 기본적인 방법은 서버가 직접 안내하는 것입니다. 보안 연결이 아닌 쪽으로 요청이 들어오면, 서버는 내용을 보여 주는 대신 같은 주소의 https 쪽으로 다시 오라는 짧은 답을 돌려줍니다. 브라우저는 그 답을 받자마자 새 주소로 다시 요청을 보내고, 이용자 눈에는 주소창이 한 번 바뀌는 것으로만 보입니다.
이 방법에는 작은 빈틈이 있습니다. 맨 처음 요청은 여전히 보안 연결 없이 나간다는 점입니다. 아주 짧은 순간이지만, 그 틈을 노려 이사 안내 자체를 가로채는 공격이 이론적으로 가능합니다.
두 번째 장치: 브라우저가 기억하는 약속
그 빈틈을 메우려고 사이트는 브라우저에게 앞으로 우리 사이트는 보안 연결로만 접속하라는 약속을 함께 보냅니다. 이 약속을 받은 브라우저는 일정 기간 동안 이용자가 http로 입력해도 아예 요청을 내보내기 전에 https로 고쳐서 접속합니다. 서버에 한 번 다녀오는 과정조차 생략되는 셈입니다.
- 서버의 이사 안내: 첫 요청을 받은 뒤 보안 연결로 다시 보내는 방식
- 브라우저의 기억: 한 번 약속을 받은 사이트는 처음부터 보안 연결로 접속
- 미리 실린 목록: 브라우저에 처음부터 보안 연결 전용으로 등록된 사이트
- 브라우저 자체 설정: 가능하면 항상 https를 먼저 시도하는 기능
여기에 더해 일부 사이트는 브라우저 안에 처음부터 실려 있는 보안 연결 전용 목록에 이름을 올려 둡니다. 이 경우에는 그 사이트에 처음 방문하는 순간부터 http 요청이 나가지 않습니다. 최근 브라우저들은 목록과 관계없이 https를 먼저 시도해 보는 설정도 갖추고 있습니다.
이런 장치들이 겹겹이 있는 덕분에 이용자는 s 한 글자를 신경 쓰지 않아도 됩니다. 다만 브라우저의 기억은 기기마다, 브라우저마다 따로 쌓인다는 점을 알아 두면 좋습니다. 새 휴대폰이나 처음 쓰는 브라우저는 그 약속을 아직 받지 못한 상태라서, 첫 접속은 서버의 이사 안내에 기대게 됩니다.
전환이 일어나지 않는 사이트를 만났다면
드물게 http로 들어가도 https로 넘어가지 않는 사이트가 있습니다. 오래전에 만들어 놓고 손보지 않은 개인 홈페이지나, 내부용으로 잠깐 열어 둔 페이지에서 주로 볼 수 있습니다. 이런 곳에서는 주소창 옆에 주의 요함 같은 표시가 뜨는데, 연결이 암호로 보호되지 않는다는 뜻입니다.
읽기만 하는 정보라면 큰 문제가 없을 수 있지만, 이런 화면에서 아이디나 비밀번호, 카드 정보를 입력하는 것은 피해야 합니다. 공식 서비스가 로그인과 결제 화면을 보안 연결 없이 운영하는 경우는 거의 없습니다. 은행이나 쇼핑몰에서 전환이 일어나지 않는다면 주소모음에서 다시 열어 보고 같은 결과인지 비교해 보세요.
주소모음은 왜 처음부터 https로 걸까
이렇게 여러 장치가 있으니 링크를 http로 걸어도 결국 보안 연결에 도착할 가능성이 큽니다. 그래도 주소와이는 모든 링크를 처음부터 https로 적습니다. 넘어가는 단계를 하나 줄여 조금 더 빨리 열리고, 맨 처음 요청이 보호받지 못하는 순간 자체를 없앨 수 있기 때문입니다.
주소모음이나 링크모음을 고를 때도 이 점을 참고할 수 있습니다. 목록 속 링크가 여전히 http로 적혀 있다면, 오랫동안 손보지 않은 사이트모음일 가능성을 생각해 볼 만합니다. 보안 연결과 관련한 다른 확인 요령은 보안 안내에 모아 두었습니다.
공용 와이파이에서 처음 가는 사이트에 들어갈 때는 주소를 직접 칠 때부터 https를 붙이는 습관을 들여 보세요.