정보처리기사 세션통제 — 입력 검증과 암호화 원칙

입력 데이터의 보안 약점은 외부에서 들어오는 값을 제대로 검증하지 않을 때 생긴다. SQL 삽입은 데이터베이스 쿼리를 조작하는 공격이고, 크로스사이트 스크립트는 브라우저에서 악성 코드를 실행하게 하는 공격이며, 운영체제 명령어 삽입은 서버의 명령어를 직접 실행하게 하는 공격이다. 모두 외부 입력 검증 부재와 관련이 있다. 자원 고갈은 주로 외부에서 대량의 요청을 보내 시스템 자원을 소모시키는 방식이므로, 내부 입력 값을 통해 불가능한 자원을 입력한다는 설명은 성립하지 않는다.

SQL 삽입은 사용자의 입력값이 검증 없이 SQL 문에 그대로 삽입되는 취약점을 이용한다. 다만 DBMS 종류에 따라 사용할 수 있는 함수나 구문이 다르므로 공격 기법이 모두 동일하지는 않다.

웹 애플리케이션의 보안 취약점과 악성 스크립트를 연구하는 오픈소스 프로젝트는 OWASP다. 전 세계적으로 웹 보안 표준과 가이드라인을 만들고 취약점 목록을 공개한다. WWW는 인터넷 서비스 자체이고, ITU는 통신 표준을 정하는 국제 기구이므로 보안 연구 프로젝트와 구별한다.

보안 메커니즘은 목적에 따라 나뉜다. 부인 방지는 송수신 사실을 입증하는 전자적 증거를 제공하여 당사자가 자신의 행위를 부정하지 못하게 한다. 인증은 신원을 확인하고, 암호화는 내용을 숨기며, 위험 탐지는 공격을 찾아낸다.

암호화는 키를 어떻게 쓰는지로 갈린다. 대칭키 방식은 암호화와 해독에 같은 키를 쓰며 DES, SEED, RC2가 여기에 속한다. 공개키 방식은 암호화키인 공개키와 해독키인 개인키가 서로 다르므로 공개키는 공개되어도 되고 개인키만 비밀로 유지한다. 키 분배가 용이하고, RSA가 대표적인 공개키 알고리즘이다. DES는 평문을 64비트 블록으로 나누어 처리하며, 64비트 키 가운데 8비트는 패리티 비트로 제외하고 실제 유효 키 길이는 56비트를 쓴다.

객체지향의 캡슐화는 데이터와 처리 로직을 묶어 정보를 은닉하고 결합도를 낮추어 재사용성을 높인다. 재사용이 불가능해진다는 설명은 캡슐화의 목적과 정반대다.