웹 클라이언트로 전송하는 시크릿은 개발자 도구에 노출되지 않도록 하는 것이 불가능한가요?

Question

스프링부트 서버에서 AWS Secrets Manager로부터 시크릿 값들을 받아서 리액트 클라이언트로 시크릿 값을 전달하고 있습니다.이 때, 시크릿 요청도 크롬 개발자 도구의 network 탭에 노출이 되고 시크릿 응답값까지 모두 노출이 되고 있습니다. 웹 클라이언트로 값을 전달할 때는 그 값이 노출되지 않도록 하는 것은 그냥 포기해야하나요? GPT 형님은 그냥 너무 자주 노출되지 않게 최선만 다하고 클라이언트 전달되는 값은 노출되는거라고 생각하고 서버측에서 보안을 신경써야한다는식으로 답을 주네요.서버에서 시크릿 엔드포인트는 특정 IP만 허용하고, Origin과 JWT를 검증하는 것을 추가하긴 했는데, 브라우저에서 아예 시크릿 값이 노출되지 않도록 하면서 클라이언트로 전송하는 방법은 없을지 궁금하네요.

Clickin · Answer

서버에서 전송을 대신 해주는 게 아니라면 불가능하죠기본적으로 자바스크립트는 모든 데이터를 클라이언트에 다 받아놔야지 작동이 가능합니다.일단 받아놨으면 다 뚫을 방법이 있습니다.중요한 민감정보는 클라이언트에 전송하지 않는 정책이 맞습니다.

뎅이 · Answer

처음 접속시에 고유 Key를 내려보냅니다.고정인 경우도 있지만 Client IP / Date 등으로 생성요청데이터는 해당 Key로 암호화해서 보냅니다.응답을 해당 Key로 암호화해서 내려보냅니다. (AES256을 주로 사용)응답은 내려갈때 언제나 암호화된 상태입니다.Client에서 해당 응답을 해당 Key로 복호화합니다.Client는 CryptoJS를 사용하시면 됩니다.그럼 개발자도구에서 패킷을 열어도 요청/응답 전부 암호화되어 있습니다.

웹 클라이언트로 전송하는 시크릿은 개발자 도구에 노출되지 않도록 하는 것이 불가능한가요?

2개의 답변

Q&A 목록