HTTPS란 무엇입니까? 이는 인증서가 첨부된 암호화된 연결을 통해 전달되는 일반 웹 프로토콜인 HTTP입니다.
암호화는 리더와 서버 사이, 공용 Wi-Fi 또는 인터넷 공급자 사이에서 페이지를 읽거나 도중에 변경할 수 없음을 의미합니다. 인증서는 해당 주소의 서버가 해당 주소가 속한 서버임을 의미합니다.
이제 브라우저는 일반 http 페이지를 "안전하지 않음"으로 표시하고 클립보드 액세스 및 위치와 같은 기능을 거부합니다.
이 가이드에서는 HTTPS가 제공하는 것과 제공하지 않는 것, 자물쇠, 그리고 모든 공유 페이지에 이 자물쇠가 있어야 하는 이유를 다룹니다.
HTTPS는 암호화되고 인증된 채널 내의 HTTP입니다. 세 가지를 제공합니다.
HTTPS가 제공하는 것
기밀성. 커피숍, 네트워크 운영자, 중개자 등 네트워크 경로의 누구도 트래픽을 읽을 수 없습니다.
무결성. 누구도 이를 변경할 수 없습니다. 이것이 없으면 중개자가 로드하는 모든 페이지에 스크립트를 삽입할 수 있으며 페이지는 이를 실행합니다.
호스트 인증. 인증서는 서버가 해당 호스트 이름에 대한 개인 키를 보유하고 있음을 증명합니다. 요청한 호스트에 도달했습니다.
제공하지 않는 것
사이트의 의도에 대한 모든 설명. 인증서는 정직함이 아닌 호스트 이름을 인증합니다. 피싱 사이트는 몇 분 안에 자물쇠를 획득하고 동일한 자물쇠를 표시합니다.
"자물쇠를 찾으세요"가 수년 동안 안전 조언으로 가르쳐졌기 때문에 이것은 중요합니다. 그런 의미는 결코 아니며 인증서가 무료이고 즉각적이라는 점은 더욱 의미가 없습니다. 자물쇠는 연결이 비공개입니다를 의미합니다. 그게 전부입니다.
서버가 데이터를 가지고 수행하는 작업에 대한 모든 정보입니다.
양식이 없는 정적 페이지에 여전히 양식이 필요한 이유
세 가지 이유.
무결성. http 이상에서는 경로에 있는 모든 것이 페이지가 도착하기 전에 페이지를 다시 작성할 수 있습니다. 신중하게 검토한 보고서는 추가 스크립트를 포함하여 독자에게 전달될 수 있으며, 이를 알 수 있는 방법은 없습니다.
브라우저 기능은 여기에 제한됩니다. 서비스 워커, 클립보드 API, 위치정보, 카메라 액세스 등 모두 안전한 출처가 필요합니다. http의 페이지는 이를 사용할 수 없으며 file://의 페이지도 사용할 수 없습니다.
브라우저에서 표시합니다. http 페이지는 주소 표시줄에 "안전하지 않음"으로 표시되어 독자가 알 수 있습니다.
관련된 실패
페이지가 https에 있으면 http를 통해 로드되는 모든 항목이 차단됩니다. 혼합 콘텐츠를 참조하세요. 스크립트와 스타일시트가 자동으로 실패하므로 증상은 눈에 띄게 잘못된 것이 없이 스타일이 지정되지 않거나 작동하지 않는 페이지입니다.
콘솔에서는 정확하게 이름을 지정합니다. 거기를 먼저 확인해 보세요.
추가할 가치가 있는 헤더
Strict-Transport-Security: max-age=31536000; includeSubDomains
링크에 다르게 명시되어 있더라도 내년 동안 이 호스트에 대해 https를 사용하도록 브라우저에 지시합니다. 리디렉션이 포착해야 하는 초기 http 요청을 제거합니다. 그리고 해당 요청에서 가로채기가 발생할 수 있습니다.
includeSubDomains에 대해 신중하게 생각하세요. 이는 http에 있는 내부 도메인을 포함하여 모든 하위 도메인에 적용됩니다.
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
첫 번째는 브라우저가 콘텐츠 유형을 추측하는 것을 중지합니다. MIME 유형을 참조하세요. 두 번째는 리퍼러 헤더의 전체 주소가 다른 사이트로 유출되는 것을 방지합니다. 이는 주소에 식별 가능한 내용이 포함되어 있는지 여부가 중요합니다.
인증서는 무료입니다.
자동화된 인증 기관은 무료로 이를 발급하고 갱신하며, 대부분의 호스팅은 구성 없이 이를 처리합니다. http를 통해 공개 페이지를 제공하는 데 남은 인수는 없습니다.
페이지를 넣을 위치를 선택하는 경우 "https를 자동으로 제공합니까?"는 합리적인 최소 요구 사항이며 파일을 호스팅하는 대신 페이지를 게시할 때를 포함하여 현재 거의 모든 곳에서 기본적으로 충족됩니다.
공유의 의미
https 주소의 페이지는 수신자에게 일반적인 검색입니다. 경고도, 다운로드도, 결정도 없습니다. 이것이 파일이 작동하지 않는 곳에서 링크가 작동하는 이유 중 하나입니다. 다운로드한 HTML 파일에 대한 브라우저 경고를 참조하세요. 이는 로컬 파일이 이 페이지에서 어떤 보장도 하지 않기 때문에 존재하는 것입니다.
가질 가치가 있는 헤더와 각각이 방지하는 것
| 헤더 | 예방하다 |
|---|---|
Strict-Transport-Security |
차단에 사용할 수 있는 초기 http 요청 |
X-Content-Type-Options: nosniff |
다른 유형으로 추측되는 파일 - MIME 유형을 참조하세요. |
Referrer-Policy |
귀하의 전체 주소가 다른 사이트로 유출됩니다 |
Content-Security-Policy |
삽입된 스크립트 실행 중 - Content-Security-Policy 참조 |
frame-ancestors |
클릭을 포착하기 위해 페이지를 구성하는 다른 사이트 |
이들 중 어느 것도 인증서 결정이 필요하지 않습니다. 그것들은 구성 라인입니다. 첫 번째 것은 이미 작동 중인 https에 의존하므로 대신이 아닌 뒤에 오는 것입니다.
어떤 서비스를 제공하고 있는지 확인 중
curl -sI https://example.com | grep -i -E "strict-transport|content-type|referrer|content-security"
하나의 명령과 대답은 분명합니다. 호스팅 변경 후 한 번 실행해 볼 가치가 있습니다. 이러한 작업이 손실되는 일반적인 방법은 새 구성이 메모리에서 작성된 마이그레이션입니다.
자물쇠와 사람들이 읽는 내용
자물쇠는 연결이 암호화되었으며 인증서가 주소와 일치한다는 것을 의미합니다. 사이트가 정직하고 잘 운영되고 있거나 방문하려고 했던 사이트라고 말하는 것은 아닙니다. 유사 도메인은 완벽하게 유효한 인증서를 가질 수 있습니다.
이에 따라 브라우저는 독자가 알 수 있는 "안전하지 않음" 레이블을 사용하여 수년에 걸쳐 자물쇠를 더 조용하게 만들고 https의 부재를 더 크게 만들었습니다.
공유 문서의 경우 실제 결과는 간단합니다. 보고서에 대한 http 링크는 위험처럼 보이고 https 링크는 페이지처럼 보입니다.
인증서, 간략하게
인증서는 요청한 사람이 도메인을 제어하는지 확인한 후 브라우저가 신뢰하는 기관에 의해 도메인에 발급됩니다.
무료 자동 발급을 통해 모든 최신 호스트의 백그라운드 프로세스가 되었습니다. 인증서는 누구도 생각하지 않고 획득하고 갱신됩니다.
자체 서버를 실행하는 경우 먼저 해당 자동화를 설정해야 합니다. 호스트를 통해 문서를 게시하는 경우 이미 완료된 것입니다.
HTTPS로 페이지 가져오기: 4단계
- https를 통해 모든 페이지를 제공합니다. 모든 최신 호스트는 기본적으로 무료 인증서를 사용하여 이를 수행합니다. NOS 문서는 첫 번째 공유의 https입니다. 공유, 링크 공유, 공유 링크 생성입니다.
- http를 https로 리디렉션합니다. 따라서 이전 링크나 입력한 주소는 경고가 아닌 보안 버전에 표시됩니다.
- 페이지의 모든 리소스도 https로 만듭니다. 그렇지 않으면 페이지에 혼합 콘텐츠가 있고 브라우저가 자동으로 일부를 차단합니다.
- 자물쇠는 내용에 대한 신뢰로 읽지 마세요. 페이지가 정직하다는 것이 아니라 연결과 서버를 증명하는 것입니다. 피싱 페이지에는 자물쇠가 있을 수 있습니다. 가질 수 없는 것은 도메인의 인증서입니다.