프로그래밍 & IT/보안 검색 결과

해당 글 5건

JWT (Json web token) : JWT 토큰의 소개와 구조

1. 토큰기반 인증의 필요성 최근 토큰기반 인증을 지원하고 권장하는 모듈들이 늘어나고 있다. 토큰기반 인증이 활발하게 사용되기 이전에는(물론 지금도 수많은 곳에서 사용중이다) 세션을 사용한 인증을 사용했다. 세션은 최근 부각되고 있는 마이크로 서비스 측면에서 치명적인 단점을 가지고 있다. "스케일 인 / 스케일 아웃 등 확장성이 중요한 마이크로서비스 환경에서 세션 유지에 대한 불편함이 있다." 이를 획기적으로 개선할 수 있는 대안이 바로 토큰기반 인증이다. 인증 정보와 기본적인 일부 데이터들을 정해진 시간동안 유효한 토큰으로 만들어 인증에 사용하게 되는데, 이는 서버측 부하를 줄여줄 뿐 아니라 스케일 인 / 스케일 아웃 상황에서 어떤 노드로 커넥션이 옮겨 가더라도 현재의 인증 상태를 유지할 수 있게 된다..
프로그래밍 & IT/보안 2021. 1. 26. 13:49

HTTP / HTTPS 와 SSL(TLS)

최신 버전의 크롬을 사용하는 사람들은 웹 사이트들을 사용하면서 주소창 가장 좌측에 경고 표시를 종종 볼 수 있을 것이다. 이 블로그도 마찬가지로 주소 옆에 느낌표 모양의 경고가 달려있다. 느낌표를 클릭해 보면 이 사이트는 안전하지 않은 사이트라는 정보가 팝업된다.언제부터인가 크롬은 HTTPS를 사용하지 않는 사이트들에 대해 경고를 노출시키고 있다. 즉, 웹을 사용하는 사용자들에게 일반 HTTP는 안전하지 않으니 주의하라고 명확하게 알려주고 있는 것이다.그렇다면 HTTP와 HTTPS는 어떤 차이가 있는 것이고, SSL/TLS는 또 무엇인지에 대해 알아보자. 1. HTTP와 HTTPS HTTP는 Hypertext Transfer Protocol의 약어이다. Hypertext 즉, HTML을 전송하는 통신 프..
프로그래밍 & IT/보안 2017. 9. 6. 14:28

NVD CVSS v2 Vectors 취약점 점수

CVSS(Common Vulnerability Scoring System) NVD(National Vulnerability Database, 국제 취약점 데이터베이스)에서는 Vulnerability Metrics로 CVSS를 제공한다.CVSS는 Common Vulnerability Scoring System의 약어이다. 알려진 보안 취약점(CVE)에 대해 MITRE에서 제공하는 정보를 기반으로 NVD에서 추가해 취약성에 대한 영향 점수를 제공한다. [CVE(Common Vulnerabilities and Exposures)란? : http://www.leafcats.com/143 ] NVD v2는 모든 CVE 취약점에 대해서 각 취약점의 고유 특성을 나타내는 CVSS 기본 score를 제공한다. 이 기본..
프로그래밍 & IT/보안 2017. 4. 6. 19:36

CVE(Common Vulnerabilities and Exposures)

CVE(Common Vulnerabilities and Exposures) CVE는 Common Vulnerabilities and Exposures의 약자이다. 직역하자면 공통 취약점과 식별자인데, 한마디로 수많은 취약점을 공통화 하여 고유하게 넘버링을 한 것이다.CVE는 모든 종류의 소프트웨어 취약성에 부여된다. 펌웨어, 미들웨어, OS, 어플리케이션(응용 프로그램) 등 모든 소프트웨어에서 발생하는 취약점들이 대상이 된다. CVE가 정립되기 전에는 동일한 취약점에 대해 국가, 기업, 기관마다 각자의 기준에 맞게 이름을 붙였다.이런 상황에서 비영리 회사인 MITRE에서 1999년에 취약점들을 공통화 한 뒤 이를 데이터베이스화하여 운영하기 시작했다.큼직한 보안 사고들이 연달아 발생하자 2002년 NIST..
프로그래밍 & IT/보안 2017. 3. 29. 15:36

웹 보안 XSS(Cross Site Scripting) 취약점과 예시

언제부턴가 웹 보안에 대한 이슈가 부각되고, 보안 전문가들의 몸값이 높아지고 있다.사실 인터넷이 연결된 순간부터 바로 보안 위험에 노출되는 것이기 때문에 앞으로도 보안에 대한 중요성은 점점 더 커질 것이다.사실 나도 보안에 대해서는 잘 모른다. 하지만 웹 개발자가 조금만 신경 써도 충분히 해결할 수 있는 간단한 웹 보안 대응책들이 있다. 하지만, 간단한 것들일 수록 대응하지 않고 공격에 노출 되었을 때 더 강력한 공격을 받을 수 있다.그 중 첫번째로 XSS(크로스 사이트 스크립팅)에 대한 글이다. XSS 즉, 'Cross Site Scripting(크로스 사이트 스크립팅)' 은 웹 보안에 있어서 초기부터 전통적으로 나오는 가장 기본적인 이슈이다. 때문에 보안에 관한 지식이 전혀 없는 웹 개발자가 개발한 ..
프로그래밍 & IT/보안 2017. 1. 31. 19:09