정보처리기사 에러처리 — 입력 검증과 보안 서비스

보안 코딩에서 입력 데이터 처리는 핵심이다. SQL 삽입은 데이터베이스 쿼리를 조작하는 공격이고, 크로스사이트 스크립트는 브라우저에서 악성 코드를 실행하게 하는 공격이며, 운영체제 명령어 삽입은 서버의 명령어를 직접 실행하게 하는 공격이다. 이들은 모두 외부 입력값을 적절히 검증하지 않아 생기는 보안 약점이다. 자원 고갈은 주로 외부에서 대량의 요청을 보내 시스템 자원을 소모시키는 방식으로 일어나며, 내부 입력으로 불가능한 자원을 입력하는 공격으로 설명하지 않는다.

SQL 삽입은 사용자의 입력값이 검증 없이 SQL 문에 그대로 삽입되는 취약점을 이용한다. 다만 DBMS마다 지원 함수와 구문 구조, 주석 처리 방식이 달라 공격 기법이 모두 같지는 않다. Oracle과 MySQL의 문법이 다른 점이 그 예다. 입력 검증이 빠진 취약점으로는 SQL 삽입, 크로스사이트 스크립트, 운영체제 명령어 삽입이 함께 묶인다.

웹 애플리케이션 보안 취약점 연구를 주도하는 오픈소스 프로젝트는 OWASP다. OWASP는 Open Web Application Security Project의 약자로, 웹 보안 표준과 가이드라인을 만들고 취약점 목록을 공개한다. WWW는 월드 와이드 웹이라는 인터넷 서비스 자체이고, ITU는 통신 표준을 정하는 국제 기구이므로 보안 연구 프로젝트가 아니다.

보안 서비스는 목적마다 다르다. 부인 방지는 송수신 사실을 입증하는 전자적 증거를 제공하여 당사자가 자기 행위를 부정하지 못하게 한다. 인증은 신원을 확인하고, 암호화는 내용을 숨기며, 위험 탐지는 공격을 찾아낸다. 암호화 기법에서는 암호화 키와 해독 키가 같은지 다른지로 대칭과 비대칭을 가른다.

공중키 암호화 기법은 암호화 알고리즘과 암호화 키를 공개하고, 복호화에 쓰이는 알고리즘과 열쇠는 외부에 드러내지 않는다. 공개키로 암호화한 데이터는 비밀 키를 가진 사람만 해독한다. 공개키 시스템은 공개키를 쉽게 배포할 수 있어 비밀키 시스템보다 키 분배가 용이하다. DES는 대칭키 방식이고, 대체 암호화와 전치 암호화는 단순한 치환이나 위치 변경을 이용한 고전적 방식이다.