보안 면접 퀴즈

반복되는 취약점 목록이고, 공통 뼈대는 하나입니다. 외부에서 온 입력과 요청을 신뢰하지 않는 것입니다.

OWASP Top 10

주요 취약점

왜 같은 것이 반복되나

목록의 항목은 바뀌어도 원인은 대개 셋 중 하나입니다.

신뢰 경계를 잊는다. 브라우저에서 온 값은 사용자가 바꿀 수 있습니다. 숨긴 필드, 요청 머리말, 쿠키 값이 다 그렇습니다. 화면에서 막은 것은 막은 것이 아니고, 서버가 다시 검사해야 막힌 것입니다.

권한 검사를 화면에 둔다. 버튼을 숨기는 것은 권한 검사가 아닙니다. 주소를 아는 사람은 그대로 부릅니다. 그리고 남의 것을 볼 수 있는지는 요청마다 그 자원의 주인이 맞는지 확인해야 알 수 있습니다. 로그인했는지만 보는 것으로는 부족합니다.

기본값이 위험하다. 관리 화면이 열려 있거나, 오류 메시지가 내부 구조를 보여 주거나, 쓰지 않는 기능이 켜져 있는 것입니다. 새로 만든 것이 아니라 켜 둔 것을 끄지 않은 것이 문제가 됩니다.

무엇을 먼저 막나

의존성 갱신도 여기 들어갑니다. 우리가 쓴 코드가 아니라 가져다 쓴 것에서 나는 문제가 많고, 그것은 새로 짜서 막는 것이 아니라 버전을 올려서 막습니다.

실무 포인트

• SQL Injection: PreparedStatement는 기본, ORM 사용이 가장 안전
• XSS: 사용자 입력을 그대로 HTML에 렌더링하지 않기
• HTTPS 필수: 모든 통신 암호화
• Spring Security, Helmet.js 등 프레임워크 보안 기능 활용

암호화 기초

암호화 방식

HTTPS (TLS) 동작 과정

1. 클라이언트 → 서버: 지원하는 암호화 방식 전송
2. 서버 → 클라이언트: 인증서(공개키 포함) 전송
3. 비대칭키로 대칭키 교환
4. 이후 대칭키로 통신 (성능 때문)

무엇을 지켜 주고 무엇을 못 지켜 주나

암호화는 오가는 길과 저장된 것을 지킵니다. 그 밖은 지켜 주지 않습니다.

그래서 암호화를 켰다는 것이 안전하다는 뜻이 아닙니다. 실제 사고는 대개 권한 검사나 새어 나간 키에서 납니다.

키가 새면 되돌릴 수 없다

암호문을 지키는 것은 키뿐입니다. 키가 새면 그 키로 잠근 모든 것이 열립니다.

코드와 저장소에 키를 두지 않는다
로그와 오류 메시지에 값이 찍히지 않게 한다
바꿀 수 있게 만들어 둔다. 언젠가 바꿔야 한다

마지막이 자주 빠집니다. 키를 바꾸려면 옛 키로 잠근 것을 새 키로 다시 잠그는 경로가 있어야 하고, 그것을 처음에 만들어 두지 않으면 나중에는 바꾸지 못합니다.

실무 포인트

• 비밀번호 저장: bcrypt/scrypt 사용 (MD5/SHA 금지!)
• JWT 서명: HMAC(대칭) vs RSA(비대칭) 선택
• API 키, DB 비밀번호: 환경변수로 관리, 코드에 하드코딩 금지

SQL 인젝션과 파라미터 바인딩

무엇이 뚫리는가

• 입력을 SQL 문자열에 이어 붙이면 값이 아니라 구문으로 해석된다
• OR 1=1 한 조각으로 WHERE 조건이 무력화되고 테이블 전체가 응답에 실린다
• UNION SELECT로 다른 테이블(비밀번호 해시, 결제 정보)까지 끌어올 수 있다

방어 우선순위

자리표시자를 쓸 수 없는 곳

값은 자리표시자로 넘길 수 있습니다. 그런데 값이 아닌 것은 못 넘깁니다.

가운데 둘이 사고가 납니다. 정렬 열을 사용자 입력으로 받아 문자열에 이어 붙이는 경우입니다.

그때는 허용 목록으로 다룹니다. 미리 정해 둔 이름 중 하나인지 확인하고, 아니면 거절합니다. 걸러내는 것이 아니라 허용한 것만 통과시키는 방향입니다.

권한이 방어의 마지막 겹이다

질의를 안전하게 만들어도 그 계정이 무엇이든 할 수 있으면 피해가 큽니다.

읽기만 하는 경로는 읽기 전용 계정으로
표를 지우거나 만드는 권한은 애플리케이션 계정에 두지 않는다

뚫렸을 때의 피해 범위를 줄이는 것이라 앞의 방어와 성격이 다릅니다. 둘을 함께 둡니다.

실무 포인트

• 바인딩이 안 되는 자리가 있다: 테이블과 컬럼명, ORDER BY 컬럼은 값이 아니라 식별자다 → 화이트리스트로만 처리
• MyBatis ${}는 문자열 치환, #{}가 바인딩이다. 코드 리뷰에서 ${} 검색은 필수
• 이스케이프 함수를 직접 만들지 않는다. 인코딩, 주석, 다중바이트 우회를 못 막는다
• DB 에러 메시지를 그대로 응답에 노출하면 스키마와 드라이버 정보가 유출된다