한국어
사용자 신원에 대한 필수 보안 체크리스트
사용자 신원을 구축하는 것은 어떤 응용 프로그램의 중요한 구성 요소입니다. 사용자 이름과 비밀번호를 확인하는 것이 가장 단순한 방법처럼 보일 수 있지만, 고려해야 할 많은 다른 측면들이 있습니다.
Gao
Founder
Founder
사용자 신원을 구축하는 것은 어떤 응용 프로그램의 중요한 구성 요소입니다. 사용자 이름과 비밀번호를 확인하는 것이 가장 단순한 방법처럼 보일 수 있지만, 고려해야 할 많은 다른 측면들이 있습니다.
사용자 신원을 구축하는 것은 어떤 응용 프로그램의 중요한 구성 요소입니다. 이를 통해 개인화된 경험을 제공하고, 데이터 품질을 향상시키고, 사용자 유지를 개선할 수 있습니다.
사용자 이름과 비밀번호를 확인하는 것이 가장 단순한 방법처럼 보일 수 있지만, 고려해야 할 많은 다른 측면들이 있습니다. 시작해 봅시다!
기본부터 시작합시다. 항상 HTTPS (Hypertext Transfer Protocol Secure)의 사용을 강제하여 인터넷을 통한 데이터 전송을 암호화합니다. HTTPS는 사용자의 장치와 귀하의 서버 간에 교환되는 데이터가 기밀성을 유지하고 변조되지 않게합니다.
HTTPS 설정이 어렵게 보일 수도 있지만, 당신을 도울 수 있는 많은 도구와 서비스들이 있습니다:
이것 또한 기본적으로 보일 지 모르지만, 공개 접근을 데이터베이스에 허용함으로써 발생한 수많은 보안 위반 사례들이 있었으므로 여기서 언급할 가치가 있습니다.
항상 데이터베이스에 대한 공개 접근을 허용하지 않는다는 것을 기억하세요. 데이터베이스를 사적 네트워크에 두고 신뢰할 수 있는 소스에서만 접근을 허용하세요.
개인 토큰, 예를 들어 접근 토큰이나 API 키,는 프로그래밍적인 인증과 인가를 위해 자주 사용됩니다. 이러한 토큰을 안전하게 관리하려면:
비밀번호 해싱에 대한 경험이 있다면, MD5, SHA-1, SHA-2와 같이 더 이상 안전하다고 여겨지지 않는 많은 알고리즘들이 있다는 것을 알 수 있습니다.
그들의 불안정성에 대한 몇가지 일반적인 이유들은:
bcrypt와 Argon2와 같은 업계 표준 비밀번호 해싱 알고리즘은 이러한 문제들을 해결하기 위해 설계되었습니다. 이 기사의 범위가 제한적이기 때문에, 우리는 그들에 대해 자세히 다루지 않겠습니다. 더 알아보기 위해서는 비밀번호 해싱의 진화를 참조하세요.
OAuth 2.0과 OpenID Connect (OIDC)와 같은 오픈 표준은 사용자 인증 및 인가를 위한 안전하고 표준화된 접근 방법을 제공합니다. 이것들은 업계에서 잘 시험되고 널리 채택되었습니다.
하지만 그들을 잘못 구현하면, 경험이 많은 개발자들이 있는 큰 팀조차도 보안 취약점이 발생할 수 있습니다. 최근의 예로는 Expo에서 발견된 OAuth 취약점이 있습니다, 이것은 모바일 앱을 만들기 위한 인기 있는 프레임워크입니다. 이것은 작은 실수가 보안 위반으로 이어질 수 있다는 좋은 예입니다.
저장된 사용자 정보나 데이터베이스 백업과 같은 휴면 데이터는 강력한 암호화 알고리즘을 사용하여 암호화해야 합니다. 이렇게하면 데이터가 탈취되어도 복호화 키 없이는 읽을 수 없게 됩니다. 클라우드 공급자가 이 기능을 지원하는지 확인하세요, 이것은 일반적으로 준수를 위해 필요합니다.
DDoS 공격(분산 서비스 거부 공격)은 고대의 것이지만 여전히 중요한 위협입니다. 2022 Q4를 위한 Cloudflare DDoS 위협 보고서에 따르면, HTTP DDoS 공격 트래픽은 YoY로 79% 증가했습니다. 귀하의 솔루션을 만들려고 시도하기 보다는, 관리 방화벽을 설정하고 알림기를 사용하여 이 위협을 완화하는 것이 좋습니다.
모바일 앱이나 단일 페이지 응용 프로그램과 같은 공개 클라이언트는 보안 취약성에 더 쉽게 노출되어 있습니다. 만약 당신이 그들을 제공하더라도, 당신은 당신의 보안 모델에서 그들을 불신하는 소스로 취급해야 합니다. 예를 들면:
사용자 입력은 보안 취약성의 중요한 원인이 될 수 있으며, 이는 종종 무시됩니다. 무시되는 일반적인 유형의 취약성은 Cross-Site Scripting (XSS)과 SQL Injection입니다. 이를 사용하기 전에 모든 사용자 입력 데이터를 검증하고 정제하세요.
사용자 활동의 감사 추적을 유지하면 보안 사고를 탐지하고 조사하는 데 도움이 됩니다. 로그인 시도, 비밀번호 변경, 민감한 작업 등의 사용자 행동을 로그 및 모니터링하세요. 이러한 로그를 분석하면 잠재적인 보안 위반 또는 의심스러운 행동에 대한 귀중한 통찰력을 제공할 수 있습니다.
사용자의 신원을 확인하기 위한 강력한 인증 메커니즘을 구현하세요. 앞서 언급했듯이, 인증을 위해 OAuth 2.0 또는 OpenID Connect와 같은 안전한 프로토콜을 사용하는 것을 고려하세요. 더 많은 정보는 CIAM 101: 인증, 신원, SSO를 참조하세요.
인증 외에도 적절한 인가 메커니즘을 구현해야 합니다. 사용자가 인증을 받은 리소스와 작업에만 접근할 수 있도록 역할 기반 접근 제어 (RBAC)를 구현하세요. 더 많은 정보는 CIAM 102: 인가 및 역할 기반 접근 제어를 참조하세요.
다단계 인증 (MFA)는 사용자가 비밀번호 및 모바일 장치로 전송된 일회용 코드와 같은 하나 또는 여러 형태의 신원을 제공하도록 함으로써 보안을 추가하는 레이어를 추가합니다. MFA의 또 다른 좋은 예는 저장소를 삭제하는 민감한 작업을 수행할 때 GitHub이 사용자에게 웹페이지에 표시되는 모바일 앱에서 일회용 코드를 입력하도록 요청하는 것입니다.
그러나, 대부분의 초기 스타트업들은 플러그 앤 플레이 솔루션이 없는 한 MFA를 가지고 있지 않다는 것이 중요합니다. 이것은 과도하게 생각할 수 있으며 사용자 경험에 부정적인 영향을 미칠 수 있습니다.
위에서 제공된 조언은 대부분 "수동" 보안 조치를 다루며, 이는 보안 사고가 발생하기 전에 알려진 것입니다. 그러나, 장기적으로 더 효과적인 "활성" 보안 조치를 취하여 전반적인 보안 자세를 개선할 수 있습니다.
피싱 공격과 사회 공학은 위에서 언급한 많은 보안 조치들을 무용지물로 만들 수 있기 때문에 중요합니다. 예를 들어, 사용자가 비밀번호를 넘기거나 집고양이 그림을 클릭하는 것처럼 보이는 것에 속아 넘어가 질병이 포함된 집고양이 사진을 클릭하면, 비밀번호 해싱 알고리즘이나 방화벽 규칙의 강도는 관계가 없습니다.
대부분의 사람들은 보안 교육이 지루하다고 생각하며, 그것은 종종 그렇습니다. 따라서 팀과 사용자를 교육하는 방법을 변경하십시오. 예를 들어, 실제 공격자가 하기 전에 피싱 이메일을 시뮬레이션하고 어떻게 식별하는지를 보여줄 수 있습니다. 이메일을 보안 팀에 보고하는 것에 대한 보상을 제공할 수도 있습니다.
수동 보안 리뷰 외에도 DevSecOps 관행을 구현하여 보안 검사를 자동화할 수 있습니다. 예를 들면, CodeQL 과 같은 정적 코드 분석 도구를 실행하는 CI/CD 파이프라인을 설치하고, OWASP ZAP 과 같은 도구를 사용하여 자동 투과 테스트를 실행할 수 있습니다.
보안에 관해서는 항상, 사용자 경험에 부정적인 영향을 미치지 않는 가장 안전한 구성을 선택하세요. 편의를 위해 보안을 타협하거나 지름길을 사용해야하는 것을 피하세요. 보안은 항상 최우선 과제이어야 합니다.
스타트업이나 인디 개발자로서, 당신은 이러한 조치를 구현하는데 필요한 자원이 부족할 것이라고 느낄 수 있습니다. 그럼에도 불구하고, 무료 또는 스타트업 친화적인 옵션을 제공하는 전문 보안 서비스들이 있습니다. 그들을 검토하고 활용을 고려하는 시간을 가져보세요.
보안은 복잡한 주제이며, 단일 기사에서 모든 것을 다룰 수는 없습니다. 이 기사가 당신이나 당신의 팀에 대해 더 강력한 보안 감각을 구축하는 데 도움이 되었기를 바랍니다. 새로운 앱을 구축하고 있다면, 당신의 제품의 사용자 신원을 최소한의 노력으로 개발하고, 관리하고, 보호하는 데 도움이 되는 플랫폼인 Logto를 확인하십시오.