그만하세요. 제발 그만하세요. HTTPS는 HTTP보다 빠르지 않습니다.

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

그래요, 로리가 또 인터넷을 읽고 있었어요. 그리고 거기서 본 내용에 아기 로리는 화가 났습니다. 전직 테스트 설계자이자 기술 편집자인 저를 울게 만들기도 했고요. 정말이지, 저는 그런 테스트를 정당화하려고 내세운 변명뿐만 아니라 오해를 불러일으키는 제목에도 눈물이 납니다.

지난 2주 동안 저는 무려 두 건이나 “HTTPS”와 “HTTP”를 억지로 비교한 글을 읽었는데, 이 글들은 보안 HTTP가 평문 방식인 HTTP보다 명백히 빠르다는 것을 입증한다고 주장합니다.

아, 정말 그랬다면 얼마나 좋을까요.

여기서 핵심은 두 비교 모두(앞으로도 분명 더 많은 비교가 이어지겠지만) 보안이 적용된 HTTP/2와 보안이 적용되지 않은 HTTP/1.1을 비교하고 있다는 점입니다. 앞서 언급한 비교에서는 이렇게 말합니다. “암호화되지 않은 HTTP/1.1과 암호화된 HTTP/2 HTTPS를 비교합니다”.

우리 모두 이미 알고 있듯이, HTTP/2 자체는 보안과 전혀 무관한 여러 가지 이유로 인해 설계상 HTTP/1.1보다 빠릅니다. 멀티플렉싱, ‘스마트’ 헤더, 바이너리 비트스트림이 결합되어 더 빠르고 효율적인 프로토콜을 제공합니다. HTTP/2에 보안 계층(TLS 또는 SSL)을 추가하면 성능이 다소 저하될 가능성이 높지만(수학적으로 그럴 수밖에 없으므로), 보안이 적용되지 않은 HTTP/1.1에서 흔히 보던 수준까지 성능이 떨어질 정도는 아닙니다.

안타깝게도 이러한 결과는 HTTPS가 HTTP보다 빠르다는 반박의 여지가 없는 증거로 내세워지고 있습니다. 하지만 이는 사실이 아닙니다. 보안이 적용된 HTTP/2와 평문 HTTP/2를 비교 테스트할 수 없는 이유는 브라우저가 보안 없이 HTTP/2를 지원하지 않기 때문에 그러한 테스트를 수행할 방법이 없다는 것입니다. 그래서 그 차이를 보여 주는 것처럼 보이도록 테스트를 억지로 고안했지만, 실제로는 전혀 그렇지 않습니다.

보안 HTTP/2와 비보안 HTTP/2를 비교하는 일이 불가능하지는 않더라도 상당히 어렵다는 것은 사실입니다. HTTP/2는 보안 연결만 허용한다는 요구 사항을 철회하고 평문 통신을 허용했지만, 모든 주요 브라우저는 평문 통신 지원을 거부했으며 지금까지 TLS/SSL을 통한 HTTP/2만 지원해 왔습니다. 심지어 curl 같은 인기 있는 명령줄 도구도 비보안 HTTP/2 연결을 허용하지 않습니다. 결국 명세상으로는 그렇지 않더라도 HTTPS가 사실상의 표준이 된 셈입니다. 하지만 그렇다고 해서 두 방식을 비교한 뒤, 간단한 수학만으로도 틀렸음이 입증되는 터무니없는 주장을 그 테스트를 근거로 펼쳐도 된다는 뜻은 아닙니다.

자, 평문 HTTP/2로 전송된 웹 페이지를 불러오는 데 정확히 1.2초가 걸렸다고 가정해 봅시다. 이제 TLS를 추가해 보겠습니다. TLS(또는 SSL)를 추가하면 더 많은 처리가 필요해집니다. 구체적으로는 데이터를 암호화하고 복호화하는 과정입니다. 이 과정에 고작 0.3초만 걸린다고 해도 HTTPS가 HTTP보다 아주 조금 느리다는 사실은 변하지 않습니다. 그게 전부입니다. 수학이 그렇게 말하고, 수학은 순수합니다. 어떤 의도도 없고 결과에도 관심이 없으며, 그저 “결과는 이렇다”고 말할 뿐입니다.

그리고 수학적으로 X에 Y를 더하면 Z가 되며, Z는 언제나 X나 Y보다 큽니다.

HTTP/2가 더 빠르고 아주 오랜만에 이루어진 HTTP의 첫 번째 진정한 ‘업그레이드’이기 때문에 사람들이 HTTP/2를 도입하도록 독려하려는 마음은 이해하지만, 여기에는 시간이 걸립니다. 특히 수많은 업그레이드와 인프라 변경이 필요할 때는 더욱 그렇습니다. 이로 인해 애플리케이션 개발부터 운영, 네트워크 운영, 보안에 이르는 모든 담당자가 하던 일을 멈추고 테스트하고 배포한 뒤 다시 테스트해야 하므로 업무 중단이 불가피합니다. 게다가 오랫동안 HTTP/1.1과 그 프로토콜 사양을 기반으로 구축해 온 애플리케이션을 수정하는 데 필요한 변경 사항은 고려하지도 않은 것입니다. HTTP/2는 모든 것을 바꿉니다. 그리고 그 영향은 데이터 센터 전체에 미칩니다. 게이트웨이가 마이그레이션에 수반되는 본질적인 어려움과 업무 중단을 완화해 주기는 하지만, 모든 사람이 반드시 HTTP/2 대열에 합류해야 할 절실한 필요성을 느끼는 것은 아닙니다.

조직이 체감하게 될 성능 향상은 단지 HTTP/2가 설계 의도대로 더 빠르고 효율적으로 작동한다는 의미일 뿐입니다. 이는 조직이 새로운 표준을 지원하도록 전환하는 데 필요한 애플리케이션 및 네트워크 인프라 업그레이드를 계획해야 한다는 뜻입니다. HTTP 게이트웨이를 통하든 그렇지 않든 말입니다。 그렇다고 HTTPS가 HTTP보다 빠르다는 의미는 아닙니다.

성능이 더 뛰어나다는 주장을 내세워 클릭을 유도하는 제목을 만들기 위해 명백히 거짓된 주장을 하는 것은 결코 용납될 수 없습니다. 물론 보안을 강제하더라도 HTTP/1.1에서 HTTP/2로 전환하면 거의 확실히 성능이 향상될 것입니다. 하지만 논리와 수학이 통하는 세상이라면, 이것이 HTTPS가 HTTP보다 빠르다는 의미는 결코 아닙니다. 조직을 돕고 싶다면 기존 방식에서 새로운 방식으로 원활하게 전환하는 방법을 이해하도록 도와야 합니다. 최신 기술로 업그레이드할 수 있도록 비즈니스 타당성을 입증하는 데 필요한 의미 있는 데이터를 제공하십시오. HTTP/1.x에서 HTTP/2로 전환하는 투자가 장기적으로 성과를 거둘 것임을 입증할 수단을 제공하십시오.

자극적인 헤드라인을 내세우고 핵심을 뒤에 숨기기보다는 지침과 모범 사례를 제시하세요.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물