HTTP(하이퍼텍스트 전송 프로토콜)는 웹에서 가장 보편적으로 사용되는 기술로, 모든 웹사이트가 브라우저에 데이터를 전송할 때 사용하는 표준입니다. 이것의 보안 버전인 HTTPS는 TLS(전송 계층 보안)를 활용해 사용자와 웹사이트 간 통신을 암호화함으로써 개인정보 보호를 강화합니다.
1990년대 후반부터 인터넷을 사용해 온 분이라면 2007년 이후 URL에서 "https://"의 등장 빈도가 기하급수적으로 늘어난 것을 눈치챘을 것입니다. 그렇다면 과연 모든 곳에 HTTPS를 적용하는 것이 반드시 좋은 일일까요?
왜 HTTPS가 필요한가?
HTTPS는 서버와의 연결을 암호화하여 제3자가 통신 내용을 엿보지 못하도록 만듭니다. 예를 들어 로그인 세션용 쿠키를 발급받은 경우, 누군가 그 쿠키만 가로채면 자신의 컴퓨터에서 마치 본인인 것처럼 활동할 수 있습니다. 연결을 비공개로 암호화해 두면 이런 위험을 크게 줄일 수 있습니다.
HTTPS가 역사적으로 안고 있던 문제는 호스팅 입장에서의 구현 비용이었습니다. 과거에는 대형 웹사이트가 처리해야 하는 수천 개의 동시 연결을 암호화하려면 상당한 연산 성능이 필요했습니다. 하지만 최근에는 가장 저렴한 CPU조차 놀라운 성능을 자랑하면서, HTTPS 운영에 드는 부담은 더 이상 걸림돌이 되지 않습니다.
그럼에도 남는 질문이 하나 있습니다. 과연 웹 서버에서 HTTPS가 항상 필요한 걸까요?
HTTPS가 굳이 필요하지 않은 경우
모든 상황, 모든 웹사이트에 HTTPS를 적용하자는 대규모 캠페인을 쉽게 찾아볼 수 있습니다. 이들은 암호화라는 붓으로 세상 전체를 한 번에 칠하고 싶어 하며, 그 결과 많은 사람들이 HTTPS가 모든 경우에 필수라고 믿게 됩니다.
하지만 '무조건 HTTPS'라는 주장과 실제 사실은 늘 그렇듯 평행선을 그립니다. 사실 HTTPS가 진짜 유용한 순간은 사용자 개인과 관련된 데이터가 오갈 때뿐입니다. 페이스북에 로그인하거나 밈(meme)을 공유하는 서비스를 이용할 때는 아이디와 비밀번호 같은 개인 정보를 회사 서버로 전송합니다. 제3자에게 노출되기를 원하지 않는다면, 특히 공공 와이파이를 통해 접속할 때는 암호화가 필수적입니다.
반면 방문자에게 아무 정보도 요구하지 않고 오직 자기 자신에 대한 정보만 전달하는 정적(static) 사이트는 어떨까요? 요즘은 드물지만 여전히 존재합니다. 솔직히 말해 이런 사이트는 사용자 보안을 위해 HTTPS가 필요하지 않습니다. 데이터를 누구에게나 공개적으로 전달하는 곳이라면, 그 데이터를 비공개로 유지할 필요조차 없을 가능성이 높습니다.
그래도 HTTPS를 어디서나 사용해야 할까?
실질적인 효용 없이 HTTPS를 사용하는 사이트도 있지만 극소수에 불과합니다. 대부분의 웹 호스트가 HTTPS를 기본 선택지로 삼는 이유는 요즘 구현이 너무나 쉽기 때문입니다. 연산 비용 부담도 미미해서 거의 감지조차 되지 않습니다. 시장 전체는 "안전이 낫다"는 원칙 아래, 사용 여부를 일일이 논쟁하기보다 그냥 모든 곳에 HTTPS를 얹는 편이 낫다고 결론 내린 셈입니다.
HTTPS를 어디에나 적용해야 하는지에 대한 답은 웹이 나아가는 방식을 바꾸지 못할 것입니다. 이미 수많은 사람들이 저마다의 판단으로 스스로 답을 내리고 있으며, 그 답은 확실하게 "예!"인 듯합니다.
여러분은 HTTPS 사용 여부를 사이트별로 따져봐야 한다고 생각하시나요? 아니면 HTTPS를 사용하는 사이트만 방문하시겠습니까? 댓글로 여러분의 생각을 들려주세요!