본문 바로가기
반응형
SMALL

전체 글

CORS vs CSRF, 뭐가 다르죠? 헷갈리는 두 보안 이슈 한 번에 정리 (Java/Spring)
TIPS 2025. 12. 1. CORS vs CSRF, 뭐가 다르죠? 헷갈리는 두 보안 이슈 한 번에 정리 (Java/Spring) 개발자분들이 가장 혼동하는 주제 중 하나가 CORS와 CSRF입니다. 이름이 비슷해 보이지만, 문제의 근원도 방어 전략도 완전히 다릅니다. 짧고 실전적으로 정리해보겠습니다.한 줄 정의 CORS(Cross-Origin Resource Sharing)브라우저가 다른 도메인으로 요청을 보낼 때 서버가 허용할지 정책을 응답 헤더로 선언하는 메커니즘입니다.→ “해도 되나요?”를 서버가 헤더로 허락하는 절차입니다. CSRF(Cross-Site Request Forgery)사용자가 로그인된 상태를 악용해 공격자가 사용자를 대신해 요청을 보내게 만드는 공격입니다.→ “누가 보냈나요?”를 증명하지 못해 생기는 문제입니다.위협 모델의 차이 항목CORSCSRF무엇을 막나브라우저의 교차 출처 읽기 제한공격자 사이트가 사용자를..
JWT, 아직도 그냥 쓰시나요? 안전하게 쓰는 최소 체크리스트 (Java)
TIPS 2025. 11. 24. JWT, 아직도 그냥 쓰시나요? 안전하게 쓰는 최소 체크리스트 (Java) JWT는 “세션 없이 인증”에 좋아 보이지만, 설정 하나만 틀려도 바로 취약해집니다. 짧게 핵심만 정리해보겠습니다. JWS vs JWE 구분이 먼저입니다 JWS: 서명만 합니다. 위변조 방지입니다. 내용은 평문입니다.JWE: 암호화까지 합니다. 내용 비공개입니다.민감정보(주민번호, 카드번호 등)는 JWS에 넣지 않습니다. 숨겨야 한다면 JWE 또는 서버 조회로 대체합니다.알고리즘 선택과 “alg 혼동” 방지 서명은 RS256(또는 ES256) 권장입니다. 서버는 개인키로 서명, 클라이언트/게이트웨이는 공개키로 검증합니다.HS256↔RS256 혼동 취약점 방지: 서버에서 허용 알고리즘을 화이트리스트로 고정합니다. alg: none는 당연히 금지입니다.만료·스코프·Audience는 필수 exp(만료), i..
RSA vs AES 개발자가 바로 이해하는 차이와 실전 사용법
TIPS 2025. 11. 17. RSA vs AES 개발자가 바로 이해하는 차이와 실전 사용법 안녕하세요.보안 업무를 하시다 보면 암호화가 필수적인데 이때 다양한 암호화방법이 있지만 오늘은 RSA와 AES에 관하여 설명해보려고 합니다. 오늘의 주제는 개발자 관점에서 바로 쓰는 차이점을 간단한 비유와 실제 예시로 정리해보겠습니다. 결론부터 말하면: 큰 데이터는 AES로, 작은 비밀(키/토큰)은 RSA로 처리합니다. 실제 금융이나 이런곳에서는 로그인 ID/PW나 통장 비밀번호같은 짧고 중요한 정보는 RSA로 암호화 후RSA로 인증이 완료된 뒤엔 AES로 통신하는 방법을 사용하고있습니다. 자 이제 본격적인 내용에 들어가보겠습니다. 한 줄 정의 AES: 대칭키 암호화입니다. 하나의 비밀키로 암·복호화를 모두 합니다. 빠르고 대용량에 적합합니다.RSA: 비대칭키 암호화입니다. 공개키/개인키가 쌍으로 있습..
심화·운영 보안: 키 관리, 키 회전, 성능·취약점, 감사·테스트 part.3 (3/3)
TIPS 2025. 11. 10. 심화·운영 보안: 키 관리, 키 회전, 성능·취약점, 감사·테스트 part.3 (3/3) 마지막 편은 운영 환경에서 반드시 챙길 것을 체크리스트로 정리 하려합니다.그럼 바로 시작해보겠습니다. 1) 키 관리 & 키 회전 보관: 개인키는 HSM/KMS(Cloud KMS, Vault) 사용을 우선 검토합니다. 최소한 OS 권한 분리 + 암호화 저장입니다.배포: 공개키는 정적 파일/엔드포인트(JWKS)로 배포 가능입니다. 캐시 + 키 ID(kid) 를 사용합니다.회전: 새 키 발급 → 이중 서명/검증 기간 운영 → 구 키 폐기 순서로 진행합니다. 2) 전송·저장 설계 HTTPS는 기본입니다. TLS 종료 지점도 신뢰 경계로 인식합니다.민감 데이터 저장 회피: 가능하면 비저장(stateless) 설계를 우선 검토합니다.저장이 필요하면 필드 단위 암호화(FPE/필드 레벨) + 접근통제 로그를 남깁니다..
실전: 브라우저-서버 하이브리드 암호화 & 서명 (Java 연동) part.2 (2/3)
TIPS 2025. 11. 3. 실전: 브라우저-서버 하이브리드 암호화 & 서명 (Java 연동) part.2 (2/3) 이번 편은 프런트(브라우저) 에서 공개키로 세션키를 암호화, 본문은 AES-GCM 으로 처리하고, 서버(Java) 에서 개인키로 복호화하는 흐름을 만듭니다. 또한 서명(PSS) 예제도 붙여봅니다. A. 브라우저: 하이브리드 암호화 (AES-GCM + RSA-OAEP) // 변경점: 랜덤 AES 키 생성 → 본문 암호화 → AES 키를 RSA-OAEP로 암호화합니다.async function hybridEncrypt(publicPem, plaintext) { const publicKey = await importPublicKey(publicPem); // 1) 세션키 생성 (AES-GCM 256) const aesKey = await crypto.subtle.generateKey({ name: "A..
반응형
LIST

티스토리툴바