Flutter 리드·아키텍트 보안 면접

모바일 앱은 디컴파일이 가능하여 Client Secret을 안전하게 보관할 수 없으므로, PKCE(Proof Key for Code Exchange)를 사용해 code_verifier와 code_challenge로 인증 코드 탈취를 방지해야 합니다. 커스텀 URL 스킴 대신 App Links(Android) 또는 Universal Links(iOS)를 사용해 악의적인 앱의 리다이렉트 가로채기를 방어해야 합니다. 토큰은 Flutter Secure Storage를 사용해 플랫폼별 키체인(iOS Keychain, Android Keystore)에 암호화 저장하고, 메모리에 토큰을 최소 시간만 유지해야 합니다. Refresh Token Rotation을 구현해 토큰 탈취 시 피해를 최소화하고, 세션 만료 시 자동 로그아웃 및 토큰 폐기 로직을 구현해야 합니다. 또한 state 파라미터를 사용해 CSRF 공격을 방지하고, nonce를 활용해 재생 공격을 차단해야 합니다.

AES-256-GCM 방식을 사용해 데이터를 암호화하며, 인증 태그를 통해 데이터 무결성도 함께 검증합니다. 암호화 키는 절대 하드코딩하지 않고, Android는 Android Keystore의 Hardware-backed key를, iOS는 Secure Enclave를 활용해 키를 생성하고 관리합니다. Flutter에서는 flutter_secure_storage 패키지를 사용하되, 내부적으로 플랫폼 채널을 통해 각 OS의 보안 스토리지에 접근하도록 구현합니다. 개인정보보호법 준수를 위해 데이터 최소화 원칙을 적용하고, 사용자의 삭제 요구 시 암호화 키까지 완전히 폐기하는 로직을 구현해야 합니다. 또한 앱 업데이트 시 키 마이그레이션 전략을 수립하고, 루팅/탈옥 기기 감지 시 민감 데이터 접근을 차단하는 정책을 적용합니다. 암호화된 데이터는 앱 샌드박스 내에만 저장하고, 백업 시에도 암호화 상태를 유지하도록 설정합니다.

기본적으로 HTTPS를 사용하고 시스템 인증서 검증을 활성화하되, 추가로 Certificate Pinning 또는 Public Key Pinning을 구현해 신뢰할 수 있는 인증서만 허용합니다. Public Key Pinning이 Certificate Pinning보다 유연한데, 인증서 갱신 시에도 동일한 공개키를 사용하면 앱 업데이트 없이 대응 가능하기 때문입니다. 대규모 서비스에서는 하드코딩된 핀 대신 원격 구성(Remote Config)을 통해 핀을 동적으로 업데이트하는 방식을 채택하고, 백업 핀을 함께 설정해 긴급 상황에 대비합니다. 인증서 갱신 시 최소 2개월 전부터 새 핀을 배포하고, 점진적 롤아웃(Staged Rollout)을 통해 리스크를 최소화합니다. 또한 네트워크 보안 구성에서 cleartext 트래픽을 차단하고, ProGuard/R8으로 코드 난독화를 적용해 핀 정보 노출을 방지하며, 루트 CA 인증서 설치 감지 로직을 추가합니다.

Flutter는 릴리즈 빌드 시 --obfuscate 플래그를 사용해 Dart 코드를 난독화하고, --split-debug-info로 심볼 파일을 분리해 디버깅 정보 노출을 방지합니다. API 키나 시크릿은 절대 코드에 하드코딩하지 않고, 환경변수나 dart-define을 활용해 빌드 시점에 주입하거나, 서버에서 동적으로 발급받는 방식을 사용합니다. Android는 ProGuard/R8을 활성화해 네이티브 코드를 난독화하고, iOS는 Bitcode와 App Thinning을 적용합니다. 중요한 비즈니스 로직은 서버 사이드로 이동시키고, 클라이언트는 최소한의 검증 로직만 유지합니다. 런타임에 루팅/탈옥, 디버거 연결, 에뮬레이터 실행 여부를 감지해 민감 기능 실행을 차단하고, 코드 무결성 검증(Integrity Check)을 통해 앱 변조를 탐지합니다. 또한 중요 상수나 알고리즘은 네이티브 코드(C/C++)로 구현해 FFI를 통해 호출하는 방식으로 보안을 강화할 수 있습니다.

각 디바이스에 고유한 Device ID를 생성해 서버에 등록하고, 로그인 시 디바이스 정보와 함께 세션을 생성합니다. Access Token은 짧은 만료 시간(15분)을, Refresh Token은 긴 만료 시간(30일)을 설정하되, Refresh Token은 디바이스별로 발급하고 서버에서 관리합니다. 동시 세션 수를 제한하고, 새 디바이스 로그인 시 기존 세션 목록을 제공해 사용자가 선택적으로 기존 세션을 종료할 수 있게 합니다. 권한(Role/Permission)은 토큰 페이로드에 포함하되, 민감한 작업 수행 시 서버에서 실시간 권한을 재검증하고, 권한 변경 시 WebSocket이나 FCM을 통해 클라이언트에 즉시 알려 토큰을 갱신하도록 합니다. 비정상적인 로그인 시도(다른 국가, 새 디바이스 등)를 감지해 2단계 인증을 요구하고, 세션 하이재킹 방지를 위해 IP 주소와 User-Agent를 검증합니다. 관리자 기능으로 특정 사용자의 모든 세션을 강제 종료할 수 있는 API를 제공하고, 감사 로그를 남겨 추적 가능성을 확보합니다.