[Spring Security in Action] 1장

읽계 된 계기: 

로그인 기능을 구현하면서 로그인이 어떻게 이루어지는지를 이해하고 싶어서 학교 도서관에서 이 책을 빌렸다!

 

1장 내용 요약

* 스프링 시큐리티의 개념과 이를 이용해 해결할 수 있는 문제
* 소프트웨어 애플리케이션에서 보안의 의미
* 소프트웨어 보안이 중요한 이유와 관심을 가져야 하는 이유
* 애플리케이션 수준의 일반적인 취약성

 

 

---

[소프트웨어의 비기능적 요구사항의 중요성]

 

일반적으로 개발자는 애플리케이션의 목적이 비즈니스 문제를 해결하는 것임을 배우는 것으로 시작한다. 

-> 이러한 소프트웨어 개발의 관점에는 프로세스의 관행이 잘 드러나지 않는다는 문제가 있다

 

성능, 확장성, 가용성, 보안과 같은 소프트웨어의 비기능적 특징은 시간이 지남에 따라 단기적 영향과 장기적 영향을 미칠 수 있다

 

소프르웨어의 비기능적 특징들을 무시하면 DDos(분산 서비스 거부) 공격에 원치 않게 참여하는 등, 다른 시스템 오류도 발생할 수 있다. 비기능적 요구사항의 숨겨진 측면 (누락되거나 숨겨진 것을 찾기 어려움) 때문에 이러한 문제는 더 위험하다

 

소프트웨어 시스템을 다룰 때는 여러 비기능적 측면을 고려해야 한다. 이러한 비기능적 측면도 모두 중요하며 소프트웨어 개발 프로세스에서 책임감 있게 다뤄야 한다 

 

 

[1.1 스프링 시큐리티 : 개념과 장점]

- 스프링 시큐리티와 스프링 간의 관계 알아보기

 

https://spring.io/projects/spring-security

Spring Security

-> 스프링 시큐리티를 인증과 접근 제어를 위해 세부적인 맞춤 구성이 가능한 강력한 프레임워크, 스프링 애플리케이션에 보안을 적용하는 과정을 크게 간소화하는 프레임워크이다, 

 

스프링 애플리케이션에서 애플리케이션 수준의 보안을 구현할 때, 가장 우선적인 선택이며 인증, 권한 부여 및 일반적인 공격에 대한 방어를 구현하는 세부적인 맞춤 구성 방법을 제공한다.

 

https://github.com/spring-projects/spring-security/

[스프링 시큐리티 소스 코드]

 

스프링 시큐리티는 스프링 애플리케이션에서 애플리케이션 수준 보안을 구현하기 위핸 사실상의 표준이다. 하지만 스프링 시큐리

를 이용해도 애플리케이션이 자동으로 보호되는 것은 아니다. -> 애플리케이션의 필요에 맞게 스프링 시큐리티를 구성하고 맞춤 구성하는 방법을 알아야함

 

스프링 애플리케이션에 스프링 시큐리티를 어떻게 이용하면 좋을까?

-> 일반적으로 애플리케이션 수준에서 가장 흔한 보안의 활용 사례는 누가 작업을 수행할 수 있는지, 특정 데이터를 이용할 수 있는지를 결정하는 것이다. 구성을 기반으로 요청을 가로채고 권한을 가진 사용자만 보호된 리소스에 접근할 수 있도록 스프링 시큐리티 구성 요소를 작성한다. 개발자는 원하는 것을 정확하게 수행하도록 구성 요소를 구성한다. (집(애플리케이션)에 경보시스템을 설치한다면 문에만 설치하고 끝낼 것이 아니라 창문에도 설치하는 것이 개발자의 역할!)

 

 

 

[1.2 소프트웨어 보안이란?]

 

- 광범위하게 표현한 보안의 의미 - 

현재의 소프트웨어 시스템은 특히 GDPR(General Data Protection Regulations; 일반 데이터 보호 규정) 요구사항을 고려할 때 상당 부분이 민감한 정보일 수 있는 대량의 데이터를 관리한다. 사용자가 개인적이라고 생각하는 모든 정보는 소프트웨어 애플리케이션에서 민감한 정보가 된다.

민감한 정보에는 전화번호, 이메일 주소 또는 식별 번호와 같은 무해한 정보도 있지만, 유출됐을 때 위험성이 높은 신용 카드 정보 등의 정보는 더 중요하게 고려해야 한다.

애플리케이션은 이러한 정보에 접근, 변경 또는 가로챌 기회가 없게 해야 하며 의도된 사용자 이외의 대상은 어떤 식으로든 데이터와 상호 작용할 수 없게 해야 한다. 

 

보안은 계층별로 적용해야 하며, 각 계층에 다른 접근 방식이 필요하다. 

해커는 앱이 보호하는 리소스를 획득하기 위해 여러 장애물을 통과해야 한다. 각 계층을 더 잘 보호할수록 악의적인 대상이 데이터에 접근하거나 무단 작업을 수행할 가능성이 낮아진다

 

소프트웨어 시스템에서 보안은 애플리케이션 수준에만 적용되는 것이 아니다

-> 예) 네트워킹의 경우 여러 문제를 고려하고 특정한 관행을 적용해야 하며 스토리지에도 완전히 다른 사항이 적용된다

 

- 보안 수준이 무엇이고 어떤 의미가 있는가?

 

애플리케이션 수준 보안

: 애플리케이션이 실행되는 환경과 애플리케이션이 처리하고 저장하는 데이터를 보호하기 위해 해야 하는 모든 것을 나타낸다.

애플리케이션에 사용되고 영향을 받는 데이터에만 국한되는 문제가 아니다. 애플리케이션에 악의적인 개인이 전체 시스템에 영향을 줄 수 있는 취약성이 있을 수 있다

 

보안은 각 계층에 적용되고 각 계층은 그 아래의 계층에 의존한다. 스프링 시큐리티 -> 최상층에서 애플리케이션 수준의 보안을 구현

힌 계층의 보안 문제를 해결할 때에는 되도록 위 계층이 존재하지 않는다고 가정하는 것이 바람직하다

 

 

 

[스프링 시큐리티 인증 프로세스]

대부분의 시스템에서는 회원을 관리하고 있고, 그에 따른 인증(Authentication) 과 인가(Authorization) 에 대한 처리를 해야한다!

 

 

** 인증(Authentication) : 해당 사용자가 본인이 맞는지 확인하는 과정

** 인가(Authorization) : 해당 사용자가 요청하는 자원을 실행할 수 있는 권한이 있는가를 확인하는 과정

 

 

 

 

 

[자세한 내용은 조금 더 공부한 후에 설명하도록 하겠습니다!!]