21년 3월 2.0버전으로 GS인증 1등급 획득 후 22년 1월 18일 2.5버전으로 GS 인증 1등급을 획득 하였습니다.
D-Bridge는 2016년 제품 런칭 이후
API 서비스와 관련된 금융권 신규 비즈니스 “서비스 제휴 연동용 서비스” 및 “오픈뱅킹 서비스”에 적용되어 우수성을 인정 받아 왔으며, 최근 대신증권, DB손해보험, 미래에셋캐피탈 등 다수의 금융권 마이데이터 서비스 구축 사업을 수주하고, 시책변화에 빠르게 대응하며 프로젝트를 완성하여 API 필수 솔루션으로 자리매김하고 있습니다.
D-Bridge는
- 인프라 구성 및 개발자 친화적 솔루션으로 서비스 확장이 수월
- 편리한 API 개발 및 API 라이프사이클 관리
- 금융, 마이데이터 보안 가이드 준수하여 보안체계 제공
- 서비스 환경 및 제도 변화에 능동적으로 대처하는 서비스 제공 등
국내 기업환경에 최적화된 API 제품으로 최대 금융권 레퍼런스를 확보하고 있으며, 재구매율이 높은 제품입니다.
취약한 인증, 취약한 접근 통제는 Top10 중에서도 상위권에 랭크되어 있으며. 주기적으로 발표하는 OWASP Top 10에서 항상 빠지지 않을 정도로 중요한 취약점 내용입니다.
한국인터넷진흥원에서 있는 시큐어 코딩 가이드에서도 관련된 내용을 확인할 수 있습니다.
쿠키 또는 Hidden 필드등의 외부입력 값이 보안기능을 수행하는 중요 파라미터로 사용되는 경우 프록시 서버에서 파라미터를 조작하여 부적절한 인가가 발생할 수 있다.
중요기능이나 리소스를 요청하는 경우 HTML 화면에서 기능을 안보이게 설정하여도 URL을 통해 접근할 수 있으므로 인증을 거치지 않고 처리할 경우 공격자에게 노출될 수 있다.
위의 코드는 인증대상 및 방식(SR2-1)에 대한 안전하지 않은 코드와 안전한 코드의 예시이다.
기능을 수행하기전에 로그인 세션 정보의 유무, 권한 체크등의 간단한 프로세스이지만, 개발자들은 기능개발을 중점적으로 두는 경향이 있어 간과할 때가 많습니다.
2. 설계예시
2-1. 게시판 목록
게시판 목록을 구현할 때, 필요한 보안 사항의 시퀀스 다이어그램과 체크리스트이다.
Coreframe에는 OWASP ESAPI 탑재되어 있어 인젝션, XSS 등의 취약점들은 모두 필터링되게 설계되어있어 나머지의 보안항목에 대해서만 설계하면 된다.
게시판 목록 – 로그인 여부 검증, 로그인 계정의 접근 권한 검증
접근 권한 체크가 존재하지 않아 URL을 통해 직접 접근할 경우 게시판에 접근이 가능하다.
jspx(컨트롤러단) 또는 jsp 페이지에서 선택하여 접근 권한 체크를 해주면 된다.
2-2 게시물 조회
게시물 조회 시엔 게시판의 유형에 따라 DB조회후에 로그인 세션 정보와 output의 파라미터 값이 적절한 값인지 체크해줘야 한다. 예를들어, 인사 정보와 같은 개인 정보를 조회 시에 파라미터 변조를 통해 다른 사용자의 정보를 조회할 수 있으므로 세션 정보와 output을 비교하도록 한다.
게시물 조회 – 로그인 여부 검증, 로그인 계정의 접근 권한 검증
접근 권한 체크가 존재하지 않아 URL을 통해 직접 접근할 경우 게시물에 접근이 가능하다.
jspx(컨트롤러단) 또는 jsp 페이지에서 선택하여 접근 권한 체크를 해주면 된다.
게시물 조회 – output이 정상적인지 검증
DB에서 데이터 조회 후에 output에 대한 검증 없이 파라미터를 set하기 때문에 파라미터 변조 시 다른 사용자의 정보에 접근할 수 있다.
로그인 체크와 세션정보와 output의 비교 체크를 추가하여 타 사용자의 정보에 접근을 막는다.
2-3. 게시물 등록
게시물 등록 시엔 등록 페이지 접근 시, 등록 버튼 클릭 시에 접근 권한 체크를 해줘야 한다.
게시물 등록 – 로그인 여부 검증, 로그인 계정의 접근 권한 검증(페이지 이동)
게시물 등록 - 로그인 여부 검증, 로그인 계정의 접근 권한 검증(버튼 클릭)
ajax 전송방식은 POST를 해야함(GET방식으로 전송 시 URL에 데이터 노출)
에러 처리가 존재하지 않아 접근 권한이 없는 사용자가 등록을 시도해도 처리할 수가 없다.
2-4. 게시물 수정
게시판 수정 페이지 접근 시 파라미터 변조를 통해 타 사용자의 게시물의 수정 페이지에 접근하여 정보를 확인하고 무단으로 수정을 할 수 있으므로 로그인 세션 정보와 output을 비교하여 검증해야 한다.
게시물 수정 – 로그인 여부 검증, 로그인 계정의 접근 권한 검증(페이지 이동)
DB조회 후 output에 대한 검증이 존재하지 않아 파라미터(게시물 번호) 변조를 통해 타 사용자의 게시물에 접근 가능하다.
게시물 수정 – 로그인 여부 검증, 로그인 계정의 접근 권한 검증(페이지 이동)
3. 보안 점검 도구
1. Burp Suite
웹 동작 시 클라이언트와 서버 사이에 프록시 서버를 구축하여 패킷을 프록시 서버를 거치게 하여 중간에서 패킷을 확인하거나 변조하여 서버에 패킷을 전달해주는 프록시 도구
사용법
2. Fiddler
웹 동작 시 클라이언트와 서버 사이에 프록시 서버를 구축하여 패킷을 프록시 서버를 거치게 하여 중간에서 패킷을 확인하거나 변조하여 서버에 패킷을 전달해주는 프록시 도구
사용법
* 필터링
* 파라미터 변조
3. Wireshark
네트워크 트래픽을 캡쳐하여 패킷을 분석하여 모의해킹, 취약점 분석등의 쓰이는 네트워크 분석 프로그램이다.
사용법
* No. : 패킷을 수집한 순서
* Time : 패킷을 수집한 시간
* Source : 패킷을 보낸 주소
* Destination : 패킷 도착 주소
* Protocol : 프로토콜 정보
* Length : 패킷의 길이
* Info : 패킷 정보
와이어 샤크를 통해 패킷을 캡처하게 되면 수많은 패킷들이 캡처되기 때문에 Statistics(통계)를 사용하여 요약된 정보를 통해 패킷을 분석해야 한다.
대표적으로 쓰이는 4가지 통계 자료를 살펴보도록 하겠습니다.
* Protocol Hierachy – 프로토콜에 관련된 통계 자료를 확인할 수 있다.
* Conversation – 출발지 IP, 도착지 IP, 크기, 시간등 IP에 대한 정보를 확인할 수 있다.
* Packet Counter – HTTP 상태 코드에 대한 통계 정보를 확인할 수 있다.
* Requests – Request에 응답한 페이지의 목록을 확인할 수 있다.
Statistics를 이용하여 대략적인 패킷의 분석이 끝났으면 필터링과 Stream을 통해 자세한 내용을 확인하면 된다.
