HTTP/3가 가져올 중대한 변화와 과제

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

HTTP/2는 기술계에서 반짝 등장했다가 금세 사라진 유행과도 같았던 듯합니다. 비준된 표준은 2015년에 큰 기대를 받으며 발표되었습니다. 이는 1999년 이후 인터넷의 공용어에 이루어진 최초의 중대한 변화였습니다.

그러고는 갑자기 조용해졌습니다. 여러 명문 대학의 연구진이 만들고 관리하던 HTTP/2 대시보드도 2016년 말부터 소식이 끊겼습니다. 그 이후로 도입 통계는 한 번도 업데이트되지 않았습니다. 이제는 아무도 이에 관해 이야기하지 않습니다. 잠깐의 전성기는 이미 지나간 듯합니다.

하지만 보이지 않는 곳에서도 계속해서 입지를 넓혀 왔습니다. 느리지만 꾸준히 HTTP/2는 애플리케이션 스택에 자리 잡아 가고 있습니다.

HTTP/2, 여전히 IPv6보다 빠른 보급세

애플리케이션, 특히 HTTP 변형 프로토콜을 통해 실행되는 애플리케이션에 존립 기반을 둔 조직으로서, 당사는 HTTP/2의 도입 추이를 면밀히 지켜봐 왔습니다. 당사는 2018년부터 애플리케이션 서비스 현황 조사에서 HTTP/2 게이트웨이 서비스를 추적하기 시작했습니다. 2018년에는 응답자의 40%가 HTTP/2 게이트웨이를 배포했다고 답했지만, 2019년에는 그 비율이 33%로 감소했습니다. 퍼블릭 클라우드에서는 응답자의 19%가 일부 애플리케이션에 HTTP/2 게이트웨이를 사용하고 있습니다. HTTP/2 게이트웨이는 향후 1년 내 배포 예정인 상위 5개 애플리케이션 서비스 목록에 2년 연속 이름을 올렸으며, 2019년에는 응답자의 25%가 배포를 계획하고 있다고 답했습니다.

HTTP/2 대시보드에 따르면 2016년 11월 16일 기준으로 HTTP/2 지원을 발표한 도메인은 25만 개를 조금 넘었습니다. 이러한 통계를 추적하는 Netcraft에 따르면 인터넷에는 18억 개가 넘는 사이트가 있습니다. W3Techs는 HTTP/2 사용률을 측정한 결과 전체 웹사이트의 33%로 집계했으며, 인터넷을 상위 100만 개 사이트로 한정하면 이는 2016년에 집계된 25만 개 도메인과 대체로 일치합니다. 이러한 제한을 고려하면 HTTP/2를 도입한 사이트의 비율은 모두 약 25~35% 수준인 것으로 보입니다.

이 정도로는 충분히 빠르지 않다고 생각한다면, IPv6는 훨씬 오래전부터 존재했음에도 2019년 1월 기준으로 웹사이트의 13.4%에서만 도입되었다는 점을 생각해 보세요.

HTTP/3의 등장

그리고 이제 내부적으로 훨씬 더 획기적인 변화를 담은 HTTP/3가 다가오고 있습니다. HTTP/3가 익숙하지 않다면, Google의 HTTP-over-QUIC을 HTTP/3로 명칭을 변경하기 위해 IETF가 승인한 제안서를 확인해 보세요. SPDY가 HTTP/2의 기반이 된 것과 마찬가지로, QUIC은 HTTP/3의 기반입니다.

하지만 HTTP/2의 변화가 극적이었다고 생각했다면, 아직 진짜 놀라운 변화는 시작도 안 했습니다.

QUIC, 그리고 그에 기반한 HTTP/3는 UDP를 사용합니다. 이는 오랫동안 신뢰받아 온 TCP에 의존하던 방식에서 상당히 급진적으로 바뀐 것입니다. 또한 암호화 요구 사항을 포기하고 삭제한 HTTP/2와 달리(어차피 브라우저 개발사들이 암호화된 HTTP/2만 지원하기로 했기 때문에 실질적으로는 의미가 없었지만), HTTP/3에서는 암호화가 필수입니다.

아마 "드디어 때가 됐군! 모든 것을 암호화하자!!"라고 생각하실지도 모르겠습니다.

물론 이는 타당하고 어쩌면 고귀하기까지 한 의도이지만, 그에 따른 파급 효과는 인프라와 아키텍처, 특히 서비스 제공업체에 큰 영향을 미칠 것입니다. 암호화가 상위 계층으로 확대되어 사실상 모든 것을 포괄하게 된 데다 TCP에서 UDP로 전환되면서 모든 것이 달라집니다. 대부분의 보안 시스템은 UDP로 전송되는 콘텐츠를 면밀히 검사하는 데 익숙하지 않습니다. UDP를 사용하는 트래픽은 대부분 DNS 및 NTP와 같은 유틸리티 및 인프라 서비스입니다. HTTP/3의 새로운 환경에서는 페이로드를 면밀히 검사하지 않으면 위험할 수 있습니다. 전송되는 콘텐츠가 악성일 가능성이 충분히 있기 때문입니다. 봇일 수도 있고, 공격일 수도 있으며, 그 무엇이든 될 수 있습니다.

암호화 요구 사항 역시 ‘미들박스’가 트래픽을 검사하기 어렵게 만듭니다. 이러한 검사는 애플리케이션과 데이터의 보안을 유지하는 데 매우 중요합니다. 전송 계층 프로토콜의 변경도 문제가 될 수 있습니다. 보안 서비스는 대개 애플리케이션 트래픽(대부분 HTTP)이 TCP를 통해 전송된다는 전제하에 구축됩니다. TCP는 신뢰성 있는 연결 지향형 프로토콜입니다. UDP는 데이터그램 기반(패킷) 프로토콜이며 신뢰성이 떨어질 수 있기 때문에, UDP로의 전환은 보안 인프라가 애플리케이션 트래픽을 구문 분석하고 분석하는 능력에 상당한 영향을 미칠 수 있습니다.

더딘 도입의 길

HTTP/2가 느리지만 꾸준히 확산되고 있는 만큼, HTTP/3의 도입도 더디게 진행될 가능성이 큽니다. 결국 웹의 대부분은 여전히 익숙한 HTTP/1.x에 의존하고 있습니다. HTTP/2가 HTTP/1.x를 추월하려면 시간이 더 필요하며, 그처럼 짧은 기간 안에 전체 인프라와 애플리케이션 스택을 다시 마이그레이션할 가능성은 낮습니다.

보안 인프라에 미치는 영향 역시 보안 서비스 제공업체가 이에 대응할 수 있을 때까지 도입 속도를 늦출 가능성이 큽니다. 제로 트러스트 이니셔티브는 디바이스 ID와 평판 등 클라이언트의 더 폭넓은 컨텍스트를 활용하며, 보안이 애플리케이션 보호를 위한 더욱 포괄적인 전략으로 전환됨에 따라 궁극적으로 큰 도움이 될 수 있습니다. 제로 트러스트 기술의 성숙과 도입은 HTTP/3의 보안 과제에 대응할 해법이 될 수 있습니다. 보안 서비스가 악의적 행위자를 실시간으로 식별하는 데 더 많이 의존하게 되면, 악성 활동을 탐지하기 위해 페이로드를 손쉽게 살펴볼 수 없는 데서 오는 위험을 줄일 수 있습니다.

HTTP/3는 2019년 여름이 되어서야 출시될 것으로 예상됩니다. HTTP/2가 느리지만 꾸준히 도입되고 있고 HTTP/3가 보안 측면에서 여러 과제를 안고 있다는 점을 고려하면, HTTP/3가 가까운 미래에 널리 도입되기까지는 길고 험난한 여정이 될 가능성이 큽니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물