FastAPI 시니어 보안 면접

Access Token은 짧은 만료 시간(15-30분)으로 설정하고 메모리나 httpOnly 쿠키에 저장하며, Refresh Token은 긴 만료 시간(7-30일)으로 설정하고 httpOnly, Secure, SameSite 속성이 적용된 쿠키에 저장합니다. Refresh Token Rotation은 토큰 갱신 시마다 새로운 Refresh Token을 발급하고 이전 토큰을 무효화하는 방식으로 구현하며, Redis에 토큰 패밀리 ID를 저장하여 재사용 탐지 시 해당 패밀리의 모든 토큰을 무효화합니다. 데이터베이스에는 Refresh Token의 해시값만 저장하고, 토큰 발급 시각과 디바이스 정보를 함께 기록하여 이상 패턴을 감지할 수 있도록 합니다. FastAPI의 Depends를 활용하여 토큰 검증 로직을 의존성으로 분리하고, 각 엔드포인트에서 필요한 권한 수준을 선언적으로 명시합니다.

SQLAlchemy ORM의 파라미터화된 쿼리를 기본으로 사용하되, text() 함수로 Raw Query 작성 시 반드시 바인딩 파라미터를 사용하고 문자열 포맷팅이나 연결을 절대 사용하지 않습니다. 동적 테이블명이나 컬럼명이 필요한 경우 화이트리스트 검증을 통해 허용된 값만 사용하도록 제한하고, 사용자 입력을 직접 쿼리에 포함하지 않습니다. 데이터베이스 사용자 권한을 최소화하여 DROP, TRUNCATE 등 위험한 명령 실행 권한을 제거하고, 애플리케이션별로 별도 DB 계정을 사용합니다. Pydantic 모델을 활용하여 입력 데이터의 타입과 형식을 검증하고, 특수문자나 SQL 키워드가 포함된 입력에 대해 추가 검증을 수행합니다. WAF나 데이터베이스 방화벽을 통해 비정상적인 쿼리 패턴을 탐지하고, 쿼리 로깅과 모니터링을 통해 의심스러운 활동을 추적합니다.

와일드카드를 사용하면 모든 출처에서의 요청을 허용하게 되어 악의적인 사이트에서도 API를 호출할 수 있으며, credentials를 true로 설정할 수 없어 인증 쿠키를 전송할 수 없습니다. 여러 도메인을 지원해야 한다면 환경 변수로 허용된 도메인 리스트를 관리하고, 정규표현식 패턴으로 서브도메인을 검증하는 커스텀 미들웨어를 구현합니다. CSRF 방어를 위해 쿠키에 SameSite=Lax 또는 Strict 속성을 설정하여 크로스 사이트 요청에서 쿠키 전송을 제한하고, 상태 변경 요청에는 CSRF 토큰을 검증하는 미들웨어를 추가합니다. API가 주로 사용되는 경우 Double Submit Cookie 패턴을 적용하거나, 커스텀 헤더(X-Requested-With)를 요구하여 단순 요청이 아닌 프리플라이트 요청을 유도합니다.

현재는 argon2id를 권장하는데, 이는 사이드채널 공격에 강한 argon2i와 GPU 크래킹에 강한 argon2d의 장점을 결합한 알고리즘이기 때문입니다. bcrypt는 검증된 알고리즘이지만 메모리 하드니스가 약해 GPU 병렬 공격에 상대적으로 취약하고, scrypt는 메모리 하드니스가 강하지만 구현 복잡도가 높습니다. 솔트는 각 비밀번호마다 고유한 랜덤 값을 생성하여 레인보우 테이블 공격을 방어하며, work factor는 해싱 연산의 반복 횟수나 메모리 사용량을 조절하여 무차별 대입 공격의 비용을 증가시킵니다. 메모리 하드니스는 해싱 과정에서 많은 메모리를 요구하도록 설계하여 GPU나 ASIC 기반 병렬 공격을 어렵게 만드는 특성입니다. FastAPI에서는 passlib 라이브러리를 사용하여 argon2를 구현하고, work factor는 서버 응답 시간이 250-500ms 정도가 되도록 조정하며, 향후 하드웨어 성능 향상에 대비해 주기적으로 재해싱 전략을 수립합니다.

개인정보는 수집 시점에 명시적 동의를 받고 Pydantic 모델에 개인정보 필드를 명확히 표시하여 데이터 흐름을 추적하며, 필수 정보와 선택 정보를 분리하여 최소한만 수집합니다. 민감 정보는 별도 테이블에 암호화하여 저장하고, 비즈니스 로직에서는 암호화된 상태로 처리하거나 필요한 시점에만 복호화합니다. 저장 기간 제한을 위해 데이터별 TTL을 설정하고, 백그라운드 작업으로 만료된 데이터를 자동 삭제하거나 익명화하는 스케줄러를 구현합니다. 삭제 요청 처리 시 운영 데이터베이스는 즉시 삭제하고, 백업에는 삭제 마커를 기록하여 복원 시 제외되도록 하며, 로그는 개인식별정보를 마스킹하거나 해시값으로 대체합니다. 분석 데이터는 수집 시점부터 개인을 식별할 수 없도록 집계하거나 k-익명성을 보장하는 방식으로 처리하고, 법적 보관 의무가 있는 데이터는 가명처리하여 별도 저장소에 격리합니다.

FastAPI의 미들웨어나 Depends를 활용하여 요청마다 사용자 식별자를 추출하고, Redis의 INCR과 EXPIRE 명령을 조합하여 시간 윈도우별 요청 횟수를 추적합니다. 인증된 사용자는 JWT 클레임의 사용자 ID와 구독 플랜을 기준으로 제한을 적용하고, 미인증 사용자는 IP 주소를 기준으로 더 엄격한 제한을 적용합니다. Token Bucket 알고리즘을 구현하여 버스트 트래픽을 허용하면서도 평균 요청률을 제어하고, Redis의 Sorted Set이나 Lua 스크립트를 사용하여 원자적으로 토큰 소비와 갱신을 처리합니다. 분산 환경에서는 Redis Cluster를 사용하거나 일관된 해싱으로 특정 사용자의 요청이 동일한 Redis 노드로 라우팅되도록 하여 카운터 일관성을 보장합니다. 제한 초과 시 429 상태 코드와 함께 Retry-After 헤더를 반환하고, X-RateLimit-Limit, X-RateLimit-Remaining 헤더로 클라이언트에게 현재 상태를 알립니다.

FastAPI의 미들웨어에서 모든 요청과 응답을 가로채어 사용자 ID, IP, 엔드포인트, 상태 코드, 응답 시간을 JSON 형식의 구조화된 로그로 기록하고, ELK 스택이나 Datadog으로 전송합니다. 로그인 실패는 동일 IP나 사용자 ID에서 일정 시간 내 N회 이상 발생 시 알림을 트리거하고, 해당 계정이나 IP를 임시 차단하는 자동 대응 로직을 구현합니다. 비정상적인 API 호출 패턴은 사용자별 평소 행동 기준선을 학습하여 급격한 호출 증가, 새로운 엔드포인트 접근, 비정상 시간대 활동을 탐지합니다. 권한 상승 시도는 403 응답이 반복되거나 관리자 전용 엔드포인트에 대한 무단 접근 시도를 추적하여 보안팀에 즉시 알립니다. 민감 정보 보호를 위해 요청/응답 본문의 비밀번호, 토큰, 카드번호 등은 정규표현식으로 탐지하여 마스킹하고, 개인식별정보는 해시값으로 대체하되 감사 추적을 위해 원본과의 매핑 테이블은 암호화하여 별도 저장합니다.