Firefox Telemetry의 모니터링 데이터에 의하면 현재 전세계 웹 사이트의 50%가 HTTPS 프로토콜을 사용 중이며, 2015년 11월부터 2017년 1월 사이에 10%가 늘었다고 합니다.
상당수의 유명 사이트들은 이미 HTTPS로 건너갔지요.
인터넷 / 소프트웨어
:
윈도우즈, 리눅스, 기타 운영체제, 각종 어플리케이션, 프로그램, 소프트웨어, 인터넷, 인터넷 서비스에 대한 이야기, 소식, 테스트, 정보를 올리는 게시판입니다.
소식
2017.02.05 01:55
전세계 사이트의 절반이 https
-
Warning이 이 소식을 싫어합니다. -
?
Www과 https랑의 차이가 무엇인지
거기다 왜 댓글에 warning이 싫어한다고 썼는지
찾아봐야겠네요
Https는 막기가 불가능한건가 -
?
하로루8님 축하합니다.
팡팡!에 당첨되어 10포인트를 보너스로 받으셨습니다. -
?
그 사람이 어딜 들어가는질 알아야 워닝을 띄우던 말던 하는데 https는 암호화를 하니까 알수가 없고 때문에 워닝을 띄울수도 없죠
한마디로 사용자에게 매우 좋은 것입니다... 홈페이지 관리자가 좀 번거로워지지만요 -
?
warning.or.kr 이 DPI 장비 가지고 패킷 도청해서 패턴에 걸리면 연결 끊고 리디렉션 하는 방식인데요.
DPI 장비 가져다 놔도 HTTPS 에 적용 된 암호화를 뚫기가 어렵습니다.
다만 MITM 공격을 적용하면 마찬가지로 패킷 도청이 가능해지기는 하는데, 브라우저에서 인증서 오류가 나오니까 금방 알게 되죠. -
?
https 가 대중화되면서 TLS 위에서 http 가 동작할 때의 제약을 해결하기 위해 SNI (Server Name Indicator) 라는 기술이 도입되었고, 지금은 대중화되었습니다. 따라서 host 이름은 암호화 되지 않기에 IP 주소만이 아니라 host 이름 수준에서 탐지 가능합니다. 예전처럼 정확히 어떤 URL 이 요청되고, 응답받은 정보가 어떤 것인지 정확히는 볼 수 없지만요.
하지만 아직 warning.or.kr 은 https 를 다루지 않는 것 같은데... https 가 이정도로 대중화되었다면 앞으로 작업하겠지요.
그리고, 만일 국가 정부가 마음만 먹는다면 어느 정도는 세부내용도 도청할 수 있지 않을까 싶네요. 어떤 방법을 통해서든 말이죠. 예전에 이런 농담을 들은 적이 있었는데... NSA 가 인증서를 관리하는 CA 하나 털지 못한다면 직무유기라고 말이죠.
Tor 가 익명 정보 교환으로 유명한데 Tor 의 중요 위치 (exit node) 의 많은 node 들이 FBI 소유라는 이야기도 있지요.
https://namu.wiki/w/Tor#s-1.6.4 -
?
청소년 보호와 음란물 근절을 위해 국가차원에서 MITM을 하겠습니다!
-
모라구욧..!!?! -
?
https 프로토콜 사용자 증가하면서 다음에넌 http/2 프로토콜 적용하는 웹사이트가 늘어날 것이라고 생각합니다.
-
?
아이고 OpenSSL님... (재 작년 대형보안사고 하트블러드를 내서 보안에 최고봉 OS OPENBSD에서 빡쳐서 리브레 SSL을 만들었음 오픈소스에 전형적인 문제점인 공짜로 쓰는 대신 문제점을 발견하면 기여해야 하는데 안해서 난 대형사고의 대표적 대표적 사례)
-
?
다른 관점에서 보는 분들은 open source 였기 때문에 정보가 빠르게 확산되어서 더이상의 피해를 막았다고 보더군요. 만일 기업의 공개되지 않은 보안 software 기반이었다면 물론 문제점을 외부에서 찾기는 어려우나 어떤 형태로든 (source 유출이든, binary 분석이든) 발견되었을 때 암시장 (black market) 에서 더욱 기승을 부렸을지 모른다라는 이야기도 있지요. 너무 좋게만 보는 시야인지 모르겠습니다만...
OpenSSL 은 그 이후로 좀더 많은 지원도 받았고, 많은 기술자들이 관심을 가지게 되기도 했습니다. 충분한지는 모르겠습니다만... -
?
이게 또 다른 관점에서는 그간 너무 오픈소스가 인기있는 소스만 개발되고 인기 없는 소스는 거들떠 보지 않아서 결국 보안 문제가 생기는 잠제적 위험을 많이 심어버린 오픈소스의 큰 문제점으로 지적된 부분이라는 것도 있지요 (아 그건 베쉬버그 일려나...)
하여튼 지금은 어떻게 되었는지 모르겠군요 전체적으로 완전 뜯어 고친 리브레 SSL과 개선한 오픈SSL중 어느쪽이 개발자와 업계가 선호할지는...
아시는분 있으신가요? -
?
네, 그 말씀도 맞습니다. OpenSSL 이 명성에 비해서, 그리고 보안이라는 특수한 분야라는 점에서 다른 open source project 에 비해서 너무 다뤄지지 않았던 것이 사실입니다. 재정적 지원도 많이 부족했지요. 재미있는 것이 HeartBleed 를 최초로 발견한 것은 OpenSSL 의 주요기여자가 한 분이었던 것 같습니다만 실제적인 patch 작업은 Google 에서 Chrome 의 보안부분 담당이 주 업무이신 분에 의해서 이루어졌지요.
OpenSSL 도 계속 개선되고 있고, 보안문제 때문에 파생된 project 들과 교류하고 있습니다. LibreSSL 도 그런 project 인데 LibreSSL 도 Linux 에 적용할 때 큰 bug (당연히 보안 위험이 되는)가 발견된 적이 있습니다. https://www.agwa.name/blog/post/libressls_prng_is_unsafe_on_linux
LibreSSL 이 보안을 중시하는 OpenBSD 작업을 하시는 분들이 OpenSSL 에서 파생시킨거라 다른 OS 특성을 고려하지 않고 작업하다가 사고가 난 것이지요.
그래서 이런 저런 이유로 현재도 가장 많이 활용되고 있는 것은 OpenSSL 입니다.
작성된지 4주일이 지난 글에는 새 코멘트를 달 수 없습니다.
