SNI는 어떻게 작동하나요?

Q1: SNI(Server Name Indication)란 무엇인가요?
A1: SNI는 TLS(Transport Layer Security) 프로토콜 확장의 하나로, 클라이언트가 TLS 연결 초기화 시에 접속하고자 하는 도메인 이름을 서버에 미리 알려주는 기능입니다. 이를 통해 한 서버에서 여러 도메인의 SSL 인증서를 동시에 사용할 수 있게 됩니다.

Q2: 기존 TLS 연결 과정과 SNI가 적용된 연결 과정의 차이점은 무엇인가요?
A2: 기존 TLS에서는 클라이언트가 서버와 암호화 통신을 시작하기 전에 도메인 이름 정보를 보내지 않아, 서버는 어떤 인증서를 사용할지 알 수 없어 기본 인증서만 제공합니다. 하지만 SNI가 적용되면, 클라이언트가 TLS 핸드셰이크 과정의 ClientHello 메시지에 접속 도메인명을 포함해 서버에 전달하므로 서버는 해당 도메인에 맞는 인증서를 선택해 제공합니다.

Q3: SNI는 TLS 핸드셰이크 중 어느 단계에서 도메인 이름을 전달하나요?
A3: 클라이언트가 TLS 핸드셰이크를 시작할 때 보내는 ClientHello 메시지 내의 확장 필드(extension) 중 하나로 도메인 이름을 포함시켜 전달합니다.

Q4: SNI가 없으면 어떤 문제가 발생하나요?
A4: 한 IP 주소에 여러 도메인이 호스팅되고 있을 때 서버가 올바른 인증서를 제공하지 못해 클라이언트는 인증서 불일치 오류를 만나거나 기본 인증서로만 통신하게 되어 보안 및 접속 신뢰성에 문제가 생깁니다.

Q5: SNI를 지원하지 않는 클라이언트는 어떻게 되나요?
A5: SNI 미지원 클라이언트는 서버에 접속 시 기본 인증서만 받기 때문에, 다중 도메인 서버에서는 인증서 불일치 문제로 접속 오류가 발생할 수 있습니다.
Q6: SNI는 어떤 환경에서 주로 사용되나요?
A6: 웹 호스팅, 클라우드 서비스, CDN 등 한 서버(IP)에서 여러 도메인의 HTTPS 서비스를 제공할 때 사용됩니다.

Q7: SNI 사용 시 개인정보 보호에 취약점이 있나요?
A7: 네, SNI는 도메인명을 암호화하지 않고 평문으로 전송하기 때문에 네트워크 상에서 도메인명 노출 위험이 있습니다. 이를 보완하기 위한 확장으로 ESNI(Encrypted SNI)가 개발되었습니다.

Q8: 서버에서 SNI를 어떻게 처리하나요?
A8: 서버는 ClientHello 메시지의 SNI 확장 필드를 확인하여 요청된 도메인명을 파악하고, 해당 도메인의 SSL 인증서를 로드해 TLS 연결을 설정합니다.

Q9: 모든 TLS 버전에서 SNI를 지원하나요?
A9: SNI는 TLS 1.0 이상에서 지원되며, 대부분의 현대 TLS 구현체에서 필수적으로 포함되어 있습니다.

Q10: SNI 설정을 어떻게 확인하거나 활성화할 수 있나요?
A10: 웹서버(Apache, Nginx 등)나 애플리케이션 서버 설정에서 SNI 관련 옵션을 확인하며, 대부분은 TLS 인증서 다중 관리 기능과 함께 자동으로 처리됩니다. 클라이언트 쪽에서는 최신 브라우저나 TLS 라이브러리를 사용하면 자동 활성화됩니다.

SNI(서버 이름 표시, Server Name Indication)는 TLS(전송 계층 보안) 프로토콜의 확장 기능으로, 클라이언트가 서버에 연결할 때 요청하는 호스트 이름을 포함할 수 있도록 합니다.

이는 여러 도메인이 동일한 IP 주소를 공유하는 경우, 서버가 클라이언트의 요청에 따라 적절한 SSL/TLS 인증서를 선택할 수 있게 해줍니다.

SNI는 특히 웹 호스팅 서비스에서 여러 도메인을 운영하는 서버에 매우 유용합니다.

SNI의 작동 원리 1. 클라이언트의 요청 : 클라이언트(예: 웹 브라우저)가 HTTPS를 통해 서버에 연결하려고 할 때, 클라이언트는 먼저 TCP 연결을 설정합니다.

이 과정에서 클라이언트는 TLS 핸드셰이크를 시작합니다.



2. TLS 핸드셰이크 : 클라이언트는 서버에 연결할 때, "ClientHello" 메시지를 전송합니다.

이 메시지에는 클라이언트가 지원하는 TLS 버전, 암호화 방식, 그리고 SNI 확장이 포함됩니다.

SNI 확장에는 클라이언트가 연결하고자 하는 호스트 이름이 포함됩니다.



3. 서버의 응답 : 서버는 "ServerHello" 메시지를 통해 클라이언트의 요청을 수락합니다.

이 메시지에는 서버가 선택한 TLS 버전과 암호화 방식이 포함됩니다.

또한, 서버는 SNI 확장을 통해 클라이언트가 요청한 호스트 이름을 확인하고, 해당 호스트에 맞는 SSL/TLS 인증서를 선택합니다.



4. 인증서 전송 : 서버는 선택한 인증서를 클라이언트에게 전송합니다.

클라이언트는 이 인증서를 검증하여 서버의 신뢰성을 확인합니다.



5. 세션 키 생성 : 인증서 검증이 완료되면, 클라이언트와 서버는 세션 키를 생성하고, 이를 사용하여 안전한 통신을 시작합니다.

SNI의 장점 - 다중 도메인 지원 : SNI를 사용하면 하나의 IP 주소에서 여러 도메인을 호스팅할 수 있습니다.

이는 리소스의 효율적인 사용을 가능하게 합니다.

- 비용 절감 : 여러 도메인을 운영하는 기업이나 개인은 별도의 IP 주소를 구매할 필요가 없어 비용을 절감할 수 있습니다.

- SSL/TLS 보안 : SNI는 SSL/TLS 인증서를 각 도메인에 맞게 적용할 수 있게 해주므로, 보안성을 높입니다.

SNI의 단점 - 구형 클라이언트 호환성 : SNI는 TLS 1.0 이상에서만 지원되므로, 구형 브라우저나 클라이언트는 SNI를 사용할 수 없습니다.

이로 인해 일부 사용자는 SSL/TLS 연결에 문제가 발생할 수 있습니다.

- 프라이버시 문제 : SNI는 클라이언트가 요청하는 호스트 이름을 평문으로 전송하므로, 중간자 공격이나 네트워크 감시에서 호스트 이름이 노출될 수 있습니다.

이를 해결하기 위해 DNS-over-HTTPS(DOH)나 DNS-over-TLS(DOT)와 같은 기술이 개발되고 있습니다.

결론 SNI는 현대 웹 환경에서 필수적인 기술로 자리 잡았습니다.

여러 도메인을 하나의 IP 주소에서 안전하게 운영할 수 있게 해주며, SSL/TLS 보안을 강화하는 데 기여합니다.

그러나 구형 클라이언트와의 호환성 문제와 프라이버시 우려는 여전히 해결해야 할 과제로 남아 있습니다.

SNI는 웹 호스팅 서비스와 보안 통신의 발전에 중요한 역할을 하고 있으며, 앞으로도 계속해서 발전할 것으로 기대됩니다.