새롭고 변화하는 사이버 보안 위협에 대한 최신 정보는 끊임없이 정교해지는 이러한 사이버 공격의 발전 속도와 발생 빈도 증가로 인해 기업에게 엄청난 과제를 안겨 줍니다. SSL 암호화는 신용 카드와 같은 중요한 정보를 처리하지 않더라도, 데이터 통신을 보호하는 데 필수적입니다. 애플리케이션과 사용자의 개인 정보 모두를 위한 개인 정보 보호, 중요한 보안 및 데이터 무결성을 제공합니다. 서버에 설치할 경우 서버에서 브라우저로 안전하게 연결할 수 있습니다. SSL은 주로 신용카드 거래, 인증 로그인 및 기타 기밀 데이터 통신과 같은 중요한 데이터 전송을 보호하는 데 사용되었습니다. 하지만 다음은 SSL이 모든 애플리케이션에서 표준이 되어야 하는 5가지 이유입니다.
1. SSL로 데이터 보호
SSL 인증서의 핵심 기능은 서버-클라이언트 통신을 보호하는 것입니다. SSL을 설치하면 모든 정보가 암호화됩니다. 일반적으로 데이터는 잠겨 있으며 다른 누구도 데이터를 열 수 있는 키를 가질 수 없으므로 의도된 수신인(브라우저 또는 서버)에 의해서만 잠금을 해제할 수 있습니다.
2. SSL로 본인 확인
SSL 인증서의 두 번째 기본 작업은 애플리케이션에 인증을 제공하는 것입니다. 신원 확인은 웹 보안에 관한 한 가장 중요한 측면 중 하나이다. 인증서 유형에 따라 CA는 사용자와 조직의 ID를 확인합니다. 일단 당신이 당신의 신원을 증명하면, 당신의 웹사이트는 당신의 청렴함을 보증하는 신뢰지표를 받는다.
3. PCI/DSS 요구 사항을 충족하는 SSL
온라인 결제를 수락하려면 PCI/DSS 요구 사항에 대해 알아야 합니다. 온라인 결제를 받으려면 웹 사이트가 PCI와 호환되어야 합니다. SSL 인증서를 설치하는 것은 PCI(결제 카드 산업)에서 정한 12가지 주요 요구 사항 중 하나입니다.
4. SSL로 고객 신뢰 향상
SSL 인증서는 고객 신뢰 관점에서 매우 중요합니다. 표지판을 쉽게 식별할 수 있기 때문에 사용자에게 보내는 데이터가 보호될 것임을 알립니다. OV 또는 EV SSL을 설치한 경우 조직의 세부 정보를 볼 수 있습니다. 일단 당신이 합법적인 단체라는 것을 알게 되면, 그들은 당신과 거래를 하거나 심지어 당신의 사이트를 다시 방문할 가능성이 훨씬 더 커진다.
5. SSL 부팅 검색 엔진 순위 지정
구글은 HTTPS가 가능한 웹사이트들을 이용하기 위해 알고리즘을 변경했다. 이는 전 세계 SEO 전문가들이 실시한 다양한 연구에서 명백하게 드러나고 있다. 좀 더 안전한 웹 브라우징 경험을 제공하기 위해 구글은 2018년에 SSL을 의무화했다. 구글은 SSL/TLS 인증서가 설치되지 않은 웹사이트에 플래그를 지정하기로 결정했다. 만약 이 규칙을 따르지 않는 사람이 있다면, 구글 크롬과 파이어폭스 모질라와 같이 전 세계에서 많이 사용되는 모든 웹 브라우저는 최소한 ‘보안되지 않음’이라는 경고 메시지를 주거나 아예 로딩하지 못하도록 차단할 것이다.
SSL 배포 모델
Avially는 SSL 및 TLS 암호화 HTTPS 트래픽 종료를 지원합니다. Avi를 SSL의 끝점으로 사용하면 트래픽을 완벽하게 파악하고 고급 트래픽 스티어링, 보안 및 가속 기능을 적용할 수 있습니다. Avi는 다음과 같은 SSL 배포 모델을 지원합니다.
- 없음: SSL 트래픽은 패스스루(4계층)로 처리되어 암호화된 트래픽을 종료하지 않고 Avi 서비스 엔진을 통과합니다.
- 클라이언트 측: 클라이언트에서 Avi 서비스 엔진으로 가는 트래픽은 암호화되고 암호화되지 않은 HTTP로 백엔드 서버로 전송됩니다.
- 서버 측: 클라이언트에서 Avi 서비스 엔진으로 전송되는 트래픽은 암호화되지 않은 HTTP이며 암호화된 HTTPS를 통해 백엔드 서버로 전송됩니다.
- 둘 다: 클라이언트에서 Avi Service Engines로 가는 트래픽은 Avi Service Engines에서 암호화되고 종료되며, Avi Service Engines는 백엔드 서버로 가는 트래픽을 다시 암호화합니다.
- 가로채기: 클라이언트 SSL 트래픽을 종료하고, 도청할 수 있도록 암호화되지 않은 상태로 와이어를 통해 전송한 다음 대상 서버로 암호화합니다.
SSL 사용 방법
다음 비디오는 Application Delivery How-to Video 시리즈의 일부로 HTTP 앱에 대한 보안 가상 서비스를 설정하는 방법과 어디서나 Avi SSL을 사용하여 모든 SSL 기능을 활성화하는 방법을 보여 줍니다. 이 두 가지가 함께 HTTP 트래픽에 대한 권장 보안을 제공합니다.
HTTP 앱을 위한 보안 가상 서비스를 설정하는 방법
이러한 데모 비디오에서 애플리케이션 제공 시 메시지 가로채기(man-in-the-middle) 공격을 완화하거나 쿠키를 보호하거나 HTTP 트래픽을 HTTPS로 리디렉션하는 방법에 대해 알아보십시오.
SSL Everywhere
Avi는 일반적인 HTTPS 관련 기능을 활성화하기 위한 간단한 인터페이스를 제공하는 6가지 SSL 구성 옵션을 제공합니다.
HTTP to HTTPS Redirect
HTTP 서비스 포트(SSL 사용 안 함)와 HTTPS 서비스 포트(SSL 사용)를 모두 사용하여 구성된 단일 가상 서비스의 경우 이 기능은 클라이언트를 보안 HTTP 포트에서 보안 HTTPS 포트로 자동으로 리디렉션합니다.
Secure Cookies
보안 쿠키를 활성화하면 클라이언트가 HTTPS를 통해 이 쿠키만 가상 서비스로 보내도록 알려주는 보안 플래그가 모든 서버 쿠키에 표시됩니다.
HTTP Strict Transport Security(HSTS)
엄격한 전송 보안은 헤더를 사용하여 클라이언트 브라우저에 이 사이트에 SSL/TLS를 통해서만 액세스해야 함을 알립니다. 이 기능은 클라이언트의 보안 SSL/TLS 세션이 보안되지 않은 HTTP를 통해 연결되도록 할 수 있는 메시지 가로채기(man-in-the-middle) 공격을 완화하기 위한 것입니다.
HTTP-Only Cookies
이는 서버 쿠키를 HTTP 전용으로 표시하며, 이는 JavaScript 또는 기타 웹 사이트를 포함한 타사에서 쿠키를 보거나 사용할 수 없음을 의미합니다.
Rewrite Server Redirects to HTTPS
서버가 위치 헤더에 HTTP가 있는 리디렉션을 반환하는 경우 이 기능은 이를 HTTPS로 다시 씁니다.
X-Forwarded-Proto
이 옵션을 실행하면 Avi는 서버로 전송된 HTTP 요청에 X-Forwarded-Proto 헤더를 삽입하여 클라이언트가 HTTP를 통해 Avi에 연결되었는지 HTTPS를 통해 서버에 알립니다.
어디서나 SSL을 사용하여 애플리케이션을 보호하는 방법?
추가 기술 정보는 Create a Virtual Service 과 SSL Everywhere documentation 를 방문하거나, SSL Everywhere Solution Brief 문서를 다운로드 받아 보기 바랍니다.
출처 : https://blogs.vmware.com/load-balancing/2021/06/21/how-to-enable-ssl-everywhere
