HSTS, 리다이렉트 한 번을 줄이는 설정

브라우저에 기억시키면 왕복이 사라집니다

암호화되지 않은 주소로 접속한 사용자는 먼저 리다이렉트를 받고 다시 접속합니다. 이 왕복은 매번 발생합니다. 강제 정책 헤더를 보내면 브라우저가 '이 도메인은 암호화 연결만 쓴다'고 기억해, 다음부터는 주소를 입력해도 브라우저가 알아서 암호화 주소로 바꿉니다. 리다이렉트 왕복이 사라지므로 첫 접속이 빨라지고, 중간에서 가로채는 공격의 여지도 줄어듭니다. 설정은 응답 헤더 한 줄이지만 효과는 두 가지입니다. 성능과 보안이 함께 개선됩니다. 그래서 적용 자체는 간단하지만, 되돌리기가 어렵다는 점 때문에 순서를 지켜야 합니다.

기간을 짧게 시작해 단계적으로 올립니다

이 설정의 위험은 기간입니다. 브라우저가 기억하는 기간을 길게 지정하면, 설정에 문제가 생겨 암호화 연결을 일시적으로 끄고 싶어도 이미 기억한 브라우저는 접속하지 못합니다. 그래서 1단계로 기간을 1일로 두고 하루를 관찰합니다. 2단계로 7일로 올리고 한 주를 관찰합니다. 3단계로 180일 이상으로 올립니다. 180일은 4,320시간이므로 그 기간 동안은 사실상 되돌릴 수 없다고 봐야 합니다. 4단계로 하위 도메인 포함 여부를 결정합니다. 이 옵션을 켜기 전에 모든 하위 도메인이 암호화 연결을 지원하는지 전수로 확인합니다.

줄어드는 대기 시간을 계산합니다

학습용 가정으로 계산합니다. 가정값은 월 신규 진입이 100,000건이고 리다이렉트 한 번이 0.12초를 추가한다고 두겠습니다. 추가 대기의 합계는 12,000초이고 분으로는 200분입니다. 이것이 중간 계산값입니다. 최종 효과는 재방문에서 더 크게 나타납니다. 한 번 기억한 브라우저는 이후 모든 접속에서 왕복을 건너뛰므로, 재방문 비중이 높은 사이트일수록 절감이 누적됩니다. 다만 처음 접속하는 브라우저는 여전히 리다이렉트를 한 번 받습니다. 그 한 번까지 없애려면 사전 등록 목록에 올리는 방법이 있는데, 그 경우 되돌리기가 더 어려워집니다.

하위 도메인 포함이 가장 위험합니다

결론을 뒤집는 조건은 하위 도메인 옵션입니다. 이 옵션을 켜면 모든 하위 도메인에 같은 정책이 적용됩니다. 내부용으로만 쓰는 하위 도메인이나 오래된 장비가 붙어 있는 하위 도메인이 암호화 연결을 지원하지 않으면 그 순간 접속이 끊어집니다. 그래서 켜기 전에 하위 도메인 목록을 뽑아 각각 암호화 연결로 응답하는지 확인합니다. 두 번째 조건은 사전 등록입니다. 등록 목록에 올리면 브라우저가 처음부터 암호화 연결만 시도하므로 가장 빠르지만, 목록에서 빠지는 데 수개월이 걸릴 수 있습니다. 그래서 등록은 운영이 안정된 뒤에 결정합니다.

성능 최적화 실행 전 점검표

• 기간을 1일로 시작해 7일, 180일로 단계적으로 올렸다
• 하위 도메인 목록을 전수로 확인한 뒤 포함 옵션을 켰다
• 되돌리기가 어려운 기간임을 문서에 적었다
• 사전 등록은 운영이 안정된 뒤로 미뤘다