GET 방식 API의 보안성 취약

Question

안녕하세요. SI 프로젝트를 수행하고 있는 3년차 개발자입니다.현재 대기업의 지방 사업장에 Java Springboot와 React를 사용하여 웹으로 시스템을 구축하고 있습니다.(웹 개발 경험은 1년이 조금 넘어가는 시점이라 모르는게 많습니다.)이 프로젝트에서 대다수의 개발자와 저 또한 대부분의 api를 POST 방식을 사용하였는데파일 업로드, 다운로드 등에 stream으로 받고, multiPart로 받고 하는 과정에서 GET을 써야한다고 GET을 쓰신 분들도 있고몇몇개는 그냥 간단한 조회성이니까 GET으로 하신 경우들도 있는 것 같습니다.근데 현재 오픈 준비중에 보안성 검토를 받았는데 취약점 항목들에 GET을 사용한 API들이 지적 받은 것이 많더라구요..GET 방식이 파라미터 던지는 게 눈에 보이는거나 SQL 인젝션 등에 영향을 받을수 있다고 듣기는 했는데(SQL 인젝션은 java spring 에서 어노테이션으로 처리는 하였습니다)이러한 문제점이 있다면왜 REST 방식 API 를 선호하고 기업에서 요구?하는 건가요??회사 공고들을 보면 Restful API 개발에 대한 경험을 우대사항으로 공고한 곳이 많기도 하더라구요..그래서 질문의 요지는GET 방식은 보안성이 취약한데 왜 사용하는지?그리고 GET 방식을 사용해도 보안성 취약을 해결할 수 있는지?궁금합니다.감사합니다.

자코브 · Answer

패킷을 가로챘을 때get의 파라미터는 보이는데post의 payload는 안보입니다.(https)get의 파라미터에 db index나 primary key같은걸 사용하면,db 정보가 노출되니 그만큼 취약해지는거죠.검색 키워드나 페이징같은건 db 정보가 노출되지 않으니 상관없겠죠?get을 사용하는 일부 api가 취약하다는건 그런 측면일거라고 생각합니다.

하루의_spring · Answer

파라미터 전체를 암호화 해서 보내고 서버에서 복호화 하면 GET 방식도 보안에 취약하지는 않게 됩니다 그런데 그렇게 잘 안하죠 .. 비용과 시간 떄문에

집킨 · Answer

트레이드오프죠ㅎㅎ

zabcho · Answer

제가 작성자분 사이트를 사용한다고 가정을 해볼게요.작성자분 웹사이트가 Get에 보안이 취약한 것 같아서 Post로 변경을 했어요.근데 제가 개발자 모드를 키고 payload를 보면 결국 파라미터가 전부 노출이 되어서 어떤 데이터를 주고받는지 다 파악이 돼요.결국은 어떤 메서드를 쓰던 민감한 데이터는 조회가 되어요.이러면 get이나 post나 보안적으로 큰 차이가 있을까? 하는 생각이 듭니다.그래서 민감한 데이터를 주고받는다면 method와 관계없이 암호화처리 해서 송수신 하는 게 맞는 것 같고,뭐 여러가지 이유가 있겠지만 get으로 민감한 데이터를 주고받으면 서버에도 로그가 url이 그대로 남아서 보안적으로 이슈가 있기도 해요.그래서 Get이라고 보안에 무조건적으로 취약한건 아닌것 같습니다.REST ful에 대한 자세한 설명은https://www.youtube.com/watch?v=Tm2mja5_dZs이 유튜브가 잘 되어 있더라고요. (홍보아님)

초무쿤 · Answer

가령 계죄번호를 전송한다고 가정하면Get query string에 보내게 되면 ssl로 전송하더라고 url쪽은 보이게됩니다.해서 get query string으로는 되도록 보내지 않고 어쩔수없는 경우는 해당값만 암호화해서 보내야되는 케이스가 빌생하는 문제때문에 그런건데예전 SI에서는 와전이 되서 무조건 쓰지마라고 하는 사이트들이 많아서 All POST로만 하는곳도 믾았음.(구더기 무서우니 장 담그지마라는 의사결정)결국 SI식 와전된 시큐어코딩 낭설중 하나..이것 말고도 SI에 이상하게 기가차게 와전된 내용들이 많습니다.(특히 대기업 SI쪽으로 가면 정책 결정하는 양반들이 엔지니어가 아니디 보니 더 심해지는건 아이러니..)

icksss · Answer

보안은 언제나.. 편리함과 반비래 합니다.

GET 방식 API의 보안성 취약

6개의 답변

Q&A 목록