Kotlin: 안드로이드 앱 개발의 깊은 이해와 응용 (10. SSL 통신과 데이터 암호화)

안녕하세요, 안드로이드 앱 개발자 여러분!  이번 글에서는 안드로이드 앱에서의 SSL 통신과 데이터 암호화에 대해서 알아보겠습니다. 보안은 모바일 앱 개발에서 핵심적인 주제 중 하나입니다. 특히 데이터 통신에 있어서는 SSL(안전 소켓 계층)을 통한 암호화가 필수적입니다. 이번 글에서는 안드로이드 앱에서 SSL을 통한 안전한 통신을 구현하고, 데이터를 추가적으로 암호화하는 방법에 대해 알아보겠습니다.

SSL(안전 소켓 계층)란?

SSL은 데이터 통신을 암호화하여 보안을 강화하는 프로토콜입니다. 안전 소켓 계층은 클라이언트와 서버 간의 통신을 암호화하여 중간에서 데이터를 가로채더라도 내용을 이해할 수 없게 합니다.

SSL 핸드셰이크 과정

SSL은 핸드셰이크를 통해 통신의 안전성을 확립합니다. 간단한 SSL 핸드셰이크 과정은 다음과 같습니다.

1. 클라이언트 Hello: 클라이언트가 서버에게 "안녕하세요"를 전달하고 지원하는 SSL 버전 및 암호화 알고리즘을 제시합니다.
2. 서버 Hello: 서버는 클라이언트에게 응답으로 "안녕하세요"를 전달하고 선택된 SSL 버전 및 암호화 알고리즘을 알려줍니다.
3. 인증: 서버가 클라이언트에게 공개키 인증서를 전달하고, 클라이언트는 이를 신뢰할 수 있는 인증 기관의 공개키로 복호화하여 서버의 공개키를 얻습니다.
4. 암호화 키 교환: 클라이언트와 서버는 세션 키를 생성하고 이를 서로에게 전송하여 이후 통신에 사용합니다.

이러한 핸드셰이크를 통해 양측이 서로를 인증하고, 안전한 통신을 위한 암호화 키를 교환합니다.

SSL  Handshake

SSL 통신 구현

안드로이드 앱에서 SSL 통신을 구현하려면 서버에서 사용할 SSL 인증서가 필요합니다. 이를 준비한 뒤, 다음과 같이 안드로이드 앱에서 SSL 통신을 설정할 수 있습니다.

// SSL 통신을 위한 OkHttpClient 생성
val sslContext = SSLContext.getInstance("TLS")
val keyStore = KeyStore.getInstance(KeyStore.getDefaultType())

// 서버에서 받은 인증서를 로드
val certificateInputStream = context.resources.openRawResource(R.raw.server_certificate)
val certificate = CertificateFactory.getInstance("X.509").generateCertificate(certificateInputStream)
keyStore.load(null, null)
keyStore.setCertificateEntry("server", certificate)

// TrustManager를 설정하여 안전한 통신을 보장
val trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm())
trustManagerFactory.init(keyStore)

sslContext.init(null, trustManagerFactory.trustManagers, SecureRandom())

val okHttpClient = OkHttpClient.Builder()
    .sslSocketFactory(sslContext.socketFactory, trustManagerFactory.trustManagers[0] as X509TrustManager)
    .build()

// Retrofit을 이용한 API 통신 설정
val retrofit = Retrofit.Builder()
    .baseUrl("https://your-api-url.com")
    .client(okHttpClient)
    .addConverterFactory(GsonConverterFactory.create())
    .build()

위 코드에서는 OkHttpClient를 통해 SSL 인증서를 로드하고, 안전한 Retrofit 통신을 설정하고 있습니다. R.raw.server_certificate는 서버에서 받은 인증서를 Android 리소스로 추가한 것입니다.

데이터 암호화 추가

SSL 통신으로 보호된 데이터를 전송하더라도, 데이터가 앱 내에서 저장되거나 사용되는 경우 추가적인 암호화가 필요할 수 있습니다. 안드로이드에서는 다양한 암호화 라이브러리를 활용할 수 있습니다.

// 데이터를 AES/CBC로 암호화하는 함수
fun encryptData(data: ByteArray, key: SecretKey, iv: ByteArray): ByteArray {
    val cipher = Cipher.getInstance("AES/CBC/PKCS7Padding")
    val secretKeySpec = SecretKeySpec(key.encoded, "AES")
    val ivParameterSpec = IvParameterSpec(iv)
    cipher.init(Cipher.ENCRYPT_MODE, secretKeySpec, ivParameterSpec)
    return cipher.doFinal(data)
}

// 데이터를 AES/CBC로 복호화하는 함수
fun decryptData(encryptedData: ByteArray, key: SecretKey, iv: ByteArray): ByteArray {
    val cipher = Cipher.getInstance("AES/CBC/PKCS7Padding")
    val secretKeySpec = SecretKeySpec(key.encoded, "AES")
    val ivParameterSpec = IvParameterSpec(iv)
    cipher.init(Cipher.DECRYPT_MODE, secretKeySpec, ivParameterSpec)
    return cipher.doFinal(encryptedData)
}

위 코드에서는 Cipher 클래스를 사용하여 데이터를 AES/CBC로 암호화하고 복호화하는 함수를 구현하였습니다. 이 함수를 사용하여 SSL로 암호화된 통신 결과를 앱 내에서 안전하게 사용할 수 있습니다.

마무리

SSL 통신과 데이터 암호화는 안드로이드 앱에서 보안을 강화하는 중요한 단계입니다. 서버와의 통신에서 SSL을 활용하고, 민감한 데이터를 암호화하여 저장하면 사용자의 개인 정보를 안전하게 보호할 수 있습니다. 앱 개발에서는 항상 보안적인 측면을 고려하여 안전한 서비스를 제공하는 것이 중요합니다.