[SK shieldus Rookies 16기] 클라우드 기반 스마트 융합 보안 과정 교육 정리(41일차)

오늘 학습 주제

1. Origin

2. SOP

3. CORS

4. CSP

 

 

 

 

 

Origin(출처, 기원)

---

- Origin -

 

웹 페이지나 웹 어플리케이션에서 리소스가 로드되는 출처(origin)

 

Scheme = 프로토콜

 

Domain Name or IP Address = Host Address

 

Port = Origin을 고유하게 식별하는 중요한 구성 요소

HTTP(80) HTTPS(443)

URL에 포트가 명시되지 않으면 기본 포트가 사용(= 생략 가능)

 

Anchor = Fragment = 책갈피 = 해당 문서 내에서의 특정 위치

 

 

 

 

SOP(Same Origin Policy, 동일 출처 정책)

---

- SOP-

 

웹 보안을 강화하기 위한 웹 브라우저의 핵심 보안 정책 중 하나로

웹 페이지의 스크립트가 다른 출처의 문서나 리소스에 접근하는 것을 제한하여 보안을 강화

 

 

 

일반적으로 웹 어플리케이션은 기원이 다른 리소스를 사용할 수 있음 

http://www.exam.com/index.html 

==============================

<img src="http://www.test.com/myimage.gif" />

<script src="http://www.test.com/lib.js"></script>

 

단, JavaScript를 이용해서 리소스를 가져오는 경우는 동일 기원에서 가져 온 것만 사용할 수 있도록 제한

    = ajax 통신을 통해서 가져오는 경우

 

 

 

 

 

 

 

 

 

 

CORS(Cross-Origin Resource Sharing, 교차 출처 자원 공유)

---

- CORS -

웹 페이지에서 다른 출처의 리소스에 접근하는 것을 허용하기 위한 보안 기능

기본적으로 브라우저는 Same-Origin Policy에 따라 다른 출처에서 리소스에 접근하는 것을 제한하지만

CORS는 이를 우회하고 안전하게 Cross-Origin 요청 가능

 

Access-Control-Allow-Origin: https://trusted-origin.com

'https://trusted-origin.com'출처로부터의 요청을 허용하는 CORS 헤더 설정

 

 

 

 

 

 

 

CSP(Content Security Policy, 컨텐츠 보안 정책)

---

- CSP -

 

XSS 공격을 방어하기 위한 브라우저의 보안 정책

 

개발자 작성한 스크립트 코드와 공격자가 작성한 스크립트 코드를 구분하기 위한 방법

 

응답 헤더에 Conent-Security-Policy 헤더를 통해서 제공하는 정보를 이용해서 판단

 

교차 사이트 스크립팅(XSS)과 데이터 주입 공격을 비롯한 특정 유형의 공격을 탐지하고

완화하는데 도움이 되는 추가 보안 계층

default-src 'none'; 
script-src 
'self' 
www.googletagmanager.com platform.twitter.com syndication.twitter.com 'sha256-ewTm8QMx/IkmbIFAIapvCHoCrGgIIHhn8qKC7/5Y2Ro=' 
'unsafe-hashes' 
'sha256-mplq9U9bn5xLaFQjbIOde0Eu7cXsI2xaTPex2jLztp0='; 
style-src 
'self' 
cdnjs.cloudflare.com fonts.googleapis.com 
'sha256-5g0QXxO6NfvHJ6Uf5BK/hqQHtso8ZOdjlnbyKtYLvwc='; 
font-src 
fonts.gstatic.com cdnjs.cloudflare.com; 
img-src 
'self' 
syndication.twitter.com; 
frame-src 
platform.twitter.com; 
connect-src 
www.google-analytics.com

;세미콜론으로 구분된 것을 지시문이라고 함

 

 

 

 

CSRF(Cross-Site Request Forgery, 크로스 사이트 요청 위조)

---

- CSRF -

서버에서 요청 주체와 요청 절차를 확인하지 않고 요청을 처리하는 경우

희생자의 권한으로 요청이 실행되는 취약점

찾기가 매우 어렵다

 

 

- CSRF 방어 기법 -

(1) 주요 기능에 대해서 재인증, 재인가 해야 한다

중요 기능:

데이터를 생성 수정 삭제하는 기능중요 정보를 다루는 기능돈을 다루는 기능 등

재인증, 재인가: 다단계 인증을 적용

 

(2) 정상적인 절차에 따른 요청인지를 확인 후 요청을 처리한다

(2-1) 선행 페이지에서 토큰(텍스트 기반)을 부여하고 처리 페이지에서 토큰을 검증세션과 같은 서버 내부에 저장

(2-2) CAPTCHA = 요청 과정에 사용자가 참여(관여)하도록 만드는 것자동화된 요청을 방지

사용자와의 상호작용(interaction)을 통한 요청

(2-3) reCAPTCHA

 

CSRF는 웹 방화벽으로 막기가 힘들다

사용자가 요청하지 않았을 뿐 요청에는 문제가 없기 때문

 

웹 방화벽: 악의적인 SQL 쿼리나 스크립트가 웹 어플리케이션으로 삽입되는 것을 방지