04. 웹 보안 기초

웹 보안을 먼저 이해해야 하는 이유

DNS 응답이 바뀌면 브라우저는 응답받은 IP의 웹 서버로 이동합니다. 이때 사용자가 실제로 마주하는 것은 네트워크 패킷이 아니라 웹 페이지입니다. 그래서 웹 보안 파트는 DNS 변조 실습의 결과가 사용자 화면에서 어떻게 나타나는지 설명하는 장입니다.

중요한 것은 “가짜 페이지를 얼마나 비슷하게 만드는가”가 아닙니다. 프로젝트의 목적은 사용자가 어떤 지점에서 위험을 알아차려야 하는지, 그리고 HTTPS와 인증서 검증이 왜 중요한 방어 신호인지 설명하는 것입니다.

따라서 교육용 페이지에는 실습용임을 명확히 표시하고, 아이디나 비밀번호 같은 개인정보 입력칸을 만들지 않습니다. 실제 공격에서 어떤 피해가 생길 수 있는지만 설명하고, 정보 수집 기능은 배제합니다.

그림으로 보는 HTTP와 HTTPS

HTTP 요청과 응답 구조

브라우저는 웹 서버에 HTTP 요청을 보내고, 서버는 상태 코드와 HTML 문서를 응답합니다. 요청에는 메서드, 경로, Host, User-Agent 같은 정보가 들어갑니다. Wireshark에서는 HTTP 트래픽을 보면 사용자가 어떤 Host와 경로를 요청했는지 확인할 수 있습니다.

GET은 주로 페이지를 요청할 때 사용하고, POST는 폼 데이터를 서버로 전송할 때 자주 사용합니다. 이 프로젝트에서는 실제 로그인 폼을 구현하지 않고, 버튼 클릭이나 안내 문구 정도로 구성해 위험성을 설명합니다.

HTTP는 암호화되지 않았기 때문에 학습 환경에서는 Host 헤더와 요청 경로가 잘 보입니다. 하지만 실제 환경에서 민감한 정보가 HTTP로 전송되면 중간에서 노출될 수 있습니다. 그래서 HTTP는 구조를 배우기에는 직관적이지만, 로그인이나 결제처럼 민감한 동작에는 적합하지 않습니다.

HTTPS와 인증서 검증

HTTPS는 HTTP 위에 TLS가 적용된 방식입니다. TLS는 암호화, 무결성, 서버 인증을 제공합니다. 사용자는 주소창의 자물쇠와 인증서 정보를 통해 현재 접속한 서버가 해당 도메인의 정당한 서버인지 확인할 수 있습니다.

DNS 응답이 실습용 경고 페이지 IP로 바뀌더라도, 가짜 서버가 정상 도메인의 인증서를 제시할 수 없다면 브라우저는 인증서 경고를 표시할 수 있습니다. 이 점은 “DNS가 바뀌면 무조건 속는다”가 아니라 “HTTPS 검증이 중요한 방어층이 된다”는 설명으로 연결됩니다.

HTTPS를 공부할 때는 단순히 “암호화된다”에서 멈추면 안 됩니다. 브라우저의 자물쇠 표시는 통신 내용이 암호화되었다는 뜻이면서, 동시에 현재 서버가 해당 도메인의 인증서를 제시했다는 뜻입니다. 그래서 인증서 경고는 사용자가 반드시 주의해야 할 강한 신호입니다.

쿠키, 세션, 폼

쿠키는 브라우저가 저장하고 서버 요청에 다시 보내는 작은 데이터입니다. 로그인 유지, 사용자 설정, 장바구니 같은 기능에 쓰입니다. 세션은 서버가 사용자의 로그인 상태를 관리하는 방식이며, 브라우저에는 보통 세션 ID가 저장됩니다.

세션 ID나 쿠키가 노출되면 로그인 상태 도용 같은 피해가 생길 수 있습니다. 그래서 실제 서비스에서는 Secure, HttpOnly, SameSite 같은 쿠키 보안 옵션과 HTTPS 사용이 중요합니다.

폼은 사용자가 입력한 값을 서버로 보내는 HTML 요소입니다. 프로젝트의 교육용 페이지에서는 실제 개인정보를 입력받지 않고, “실제 공격이었다면 이 위치에서 계정 정보가 탈취될 수 있음”을 설명하는 방식으로 대체합니다.

안전한 학습 페이지 원칙

웹 보안을 공부할 때는 공격을 그대로 따라 하는 것이 아니라 원리를 안전하게 이해하는 방식이 좋습니다. 학습용 페이지 상단에는 “보안 학습 안내”, “개인정보를 입력하지 마세요”, “실제 환경에서는 계정 탈취나 악성 파일 설치로 이어질 수 있습니다” 같은 문구를 넣습니다.

실제 기관 로고, 실제 로그인 화면, 실제 입력 저장 기능은 사용하지 않습니다. 학습의 목적은 속이는 화면을 만드는 것이 아니라, 사용자가 어떤 요소를 보고 위험을 판단해야 하는지 이해하는 것입니다.

헷갈리는 개념 비교

HTTP와 HTTPS의 차이는 단순히 주소창에 자물쇠가 있느냐 없느냐가 아닙니다. HTTP는 요청과 응답이 평문으로 오가고, HTTPS는 TLS를 통해 암호화된 통신 채널을 만든 뒤 데이터를 주고받습니다. 그래서 HTTPS에서는 중간에서 내용을 보거나 바꾸기가 훨씬 어렵습니다.

쿠키와 세션도 자주 헷갈립니다. 쿠키는 브라우저에 저장되는 작은 데이터이고, 세션은 서버가 사용자의 상태를 기억하는 방식입니다. 보통 브라우저는 세션 ID를 쿠키로 들고 있고, 서버는 그 ID를 보고 사용자를 구분합니다.

확인하면 좋은 것
- 주소창 도메인
- http / https 여부
- 인증서 경고 발생 여부
- 페이지가 개인정보를 요구하는지 여부

핵심 개념 복습

웹 보안의 핵심은 브라우저가 누구와 어떤 방식으로 통신하는지 이해하는 것입니다. HTTP 요청에는 메서드, 경로, 헤더, 본문이 있고, 서버 응답에는 상태 코드, 헤더, 본문이 있습니다. 이 구조를 알면 200, 301, 403, 404 같은 응답 코드도 자연스럽게 해석할 수 있습니다.

웹 보안 파트의 결론은 사용자가 URL, HTTPS 인증서, 브라우저 경고, 입력 요구를 함께 확인해야 한다는 점입니다. 공유기 DNS 설정 점검과 HTTPS 확인은 서로 다른 층의 방어이므로 둘 다 중요합니다.

쿠키, 세션, 폼은 사용자가 웹 애플리케이션과 상호작용할 때 자주 등장합니다. 이 값들이 어떻게 저장되고 전달되는지 이해하면 로그인 유지, 사용자 식별, 세션 탈취 위험 같은 개념도 더 쉽게 따라갈 수 있습니다.

다음 장에서는 이런 DNS/웹 흐름에 영향을 줄 수 있는 공유기와 라우터 구조를 자세히 살펴봅니다.