Browser에서 ajax POST 호출 시 값 변조 방지 방안 질문

Question

안녕하세요.얼마전 CS에서 웹으로 전환한 초보 개발자인데 웹 보안 관련해서는 잘 몰라서 의견을 듣고자 질문을 작성합니다.현재 DB에서 가져온 데이터를 가공하여 front단에서 list 형식으로 표현하고 있습니다. 사용자가 list의 row를 선택하고 버튼을 누르면 row 정보에 대한 URL을 ajax로 구하고 있는데 이러한 ajax 호출의 POST body의 변조 혹은 랜덤한 row id 대입한 새 request 생성, replay attack에 대한 방지책을 구상하고 있습니다.만약 악의적인 사용자가 Chrome Dev Tool에서 XHR 호출 URL을 확인하고, post body에 무작위 값을 넣어 Request를 작성한다면 어떻게 막을 수 있을까요?현재 HTTPS, 기본적인 Session Validation 등은 적용중입니다.제가 생각한 방법은 아래와 같은데 어떤지 한 번 봐주시면 감사하겠습니다.1. CORS 적용 및 Origin 헤더 WhiteList로 관리 [장] - 타 API Testing 웹사이트 및 프로그램에서 API 호출 방지? [단] - 다른 시스템에서 우리 API 호출 시 지속적으로 WhiteList 수정해야하는 번거로움 & 배포 - Origin 헤더까지 수정하면 확인 불가2. HMAC 적용하여 ajax 호출 시 서버에서 무결성 검사 [장] - 가능하다면 best일 것 같긴한데… [단] - HMAC을 client단에서 생성할 수 없으니 결국 서버를 1번 더 왕복해야함 HMAC을 얻기 위해 서버에 전송하는 파라미터도 외부에 노출됨3. 브라우저의 개발자 도구 감지 [장] - 내부 xhr 호출, javascript 소스 안 보여줄 수 있을듯함 [단] - 우회 가능할듯혹여 제가 미처 생각하지 못했던 다른 방안이 있다면 얼마든지 말씀해주시면 감사하겠습니다. 혹시라도 Q&A 게시판이 올바르지 못했다면 죄송합니다.감사합니다.

더미 · Answer

안녕하세요. 웹 보안은 중요한 주제이죠. 특히 사용자 입력을 다루는 부분에서는 더욱 신경을 써야 합니다. 말씀하신 시나리오에 대한 방지책을 몇 가지 제시해 드리겠습니다.1. CSRF (Cross-Site Request Forgery) 방어:CSRF 토큰 사용: 서버에서 생성한 랜덤한 토큰을 HTML form이나 AJAX 요청에 포함시켜, 요청이 정상적인 경로를 통해 발생했는지 확인합니다.HTTP Strict Transport Security (HSTS): HTTPS를 통해서만 통신하도록 설정하여 중간자 공격을 방지합니다.SameSite Cookie: 쿠키의 SameSite 속성을 설정하여 다른 도메인에서 쿠키를 전송하지 못하도록 제한합니다.2. 입력 값 검증:화이트리스트 기반 검증: 허용되는 row ID 값만을 명시적으로 지정하고, 그 외의 값은 거부합니다.데이터 타입 검증: row ID 값이 정수형인지 확인하고, 문자열이나 다른 형식의 값은 거부합니다.길이 제한: row ID 값의 최대 길이를 제한하여 비정상적으로 긴 값을 거부합니다.3. 서버 측 권한 검증:세션 기반 권한 확인: 사용자 세션 정보를 확인하여 해당 사용자가 요청한 row에 대한 접근 권한이 있는지 확인합니다.데이터베이스 기반 권한 확인: 데이터베이스에서 사용자 권한 정보를 가져와 접근 권한을 확인합니다.4. 추가적인 보안 강화:HTTPS 사용: 모든 통신을 HTTPS로 암호화하여 데이터 노출 및 변조를 방지합니다.입력 값 암호화: 민감한 정보는 암호화하여 전송하고, 서버에서 복호화하여 사용합니다.Rate Limiting: 특정 IP 주소 또는 사용자 계정에서 단시간에 많은 요청을 보내는 것을 제한하여 무차별 대입 공격을 방지합니다.5. 보안 라이브러리 활용:Spring Security: Spring Boot에서 제공하는 강력한 보안 프레임워크입니다. CSRF 방어, 입력 값 검증, 인증 및 권한 부여 등 다양한 보안 기능을 제공합니다.예시 (Spring Security CSRF 토큰 사용):Java@Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) // CSRF 토큰 설정 .and() // ... (다른 보안 설정) } } 코드를 사용할 때는 주의가 필요합니다.content_copy주의 사항:보안은 지속적인 노력이 필요합니다. 새로운 공격 기법이 계속해서 등장하므로, 최신 보안 동향을 파악하고 시스템을 지속적으로 업데이트해야 합니다.과도한 보안 조치는 사용성을 저해할 수 있습니다. 사용자 경험을 고려하여 적절한 수준의 보안 조치를 적용해야 합니다.추가 조언:OWASP Top 10: 웹 애플리케이션 보안 취약점 목록인 OWASP Top 10을 참고하여 보안 취약점을 점검하고 개선하는 것이 좋습니다.보안 전문가 도움: 필요하다면 보안 전문가의 도움을 받아 시스템을 진단하고 취약점을 개선하는 것이 좋습니다.참고 자료:OWASP Top 10: https://owasp.org/www-project-top-ten/Spring Security: https://spring.io/projects/spring-security마무리:웹 보안은 끊임없는 학습과 노력이 필요한 분야입니다. 꾸준히 공부하고 개선해 나가면 안전한 웹 서비스를 구축할 수 있을 것입니다.

양반후반 · Answer

권한 관리와 input 데이터의 유효성 검사를 하시면 됩니다.권한 관리라 함은 api를 요청한 대상이 게시글을 작성 할 권한이 있는 대상인지,혹은 해당 게시글을 수정, 삭제를 할 권한이 있는 대상인지 로그인 정보를 통하여 당연히 권한 관리를 해야하는것이고input 데이터가 허용 범위 내에 있는 데이터인지 예를 들어 숫자 데이터를 받는데 정상적인 프론트 로직을 통하여 요청을 했다면 최소 최대가 10 ~ 20으로 제한 되어 값이 들어와야 하는데 이 범위를 넘어선 값이 들어왔는지,혹은 필수 데이터가 누락 되었는지 이 모든것은 당연히 서버단에서 검증을 하셔야 합니다.간혹 어차피 프론트 개발자가 보내주는 데이터인데 맞겠지 라고 생각하고 그냥 통과 시키도록 개발 하는 사람들이 있기는 합니다.웹 특성상 개발자 도구 까면 api 정보는 언제든지 확인 할 수 있습니다.웹이 아니어도 패킷 까서 확인 가능하죠.api로 들어오는 데이터는 절대 믿지 마세요. 항상 나하고 관계 없는 사람이 api를 사용한다 생각하고 api를 개발 하세요.

ichinini · Answer

안녕하세요. 보고 든 생각입니다만먼저 list가 해당 유저가 확인할 수 있는 list라면클라이언트가 post request하기 전 list의 key 값을 제외한 다른 값이 있는지(있다면 변조 위험)해당 list값에서 대조하여 확인하면 되지 않을런지요?

Browser에서 ajax POST 호출 시 값 변조 방지 방안 질문

3개의 답변

#ajax 목록