Python 주니어 보안 기술면접

SQL 인젝션은 공격자가 악의적인 SQL 코드를 입력하여 데이터베이스를 조작하는 공격입니다. 문자열 포맷팅(f-string, %, format)으로 쿼리를 작성하면 사용자 입력이 SQL 명령어로 해석될 수 있어 위험합니다. 방지하려면 파라미터화된 쿼리(Prepared Statement)를 사용해야 하며, Python에서는 cursor.execute()의 두 번째 인자로 튜플이나 딕셔너리를 전달하는 방식을 사용합니다. Django ORM이나 SQLAlchemy 같은 ORM을 사용하면 자동으로 파라미터화된 쿼리가 생성되어 안전합니다. 또한 사용자 입력에 대한 화이트리스트 검증과 최소 권한 원칙을 적용한 DB 계정 사용도 중요합니다.

XSS는 공격자가 악의적인 스크립트를 웹 페이지에 삽입하여 다른 사용자의 브라우저에서 실행되게 하는 공격입니다. Stored XSS는 악성 스크립트가 데이터베이스에 저장되어 해당 데이터를 조회하는 모든 사용자에게 영향을 주며, Reflected XSS는 URL 파라미터 등을 통해 즉시 반사되어 특정 사용자에게만 영향을 줍니다. Django는 템플릿 엔진에서 자동으로 HTML 이스케이핑을 수행하고, Flask는 Jinja2 템플릿에서 자동 이스케이핑을 제공합니다. 추가로 사용자 입력을 출력할 때는 항상 이스케이핑을 확인하고, Content Security Policy 헤더를 설정하며, safe 필터나 mark_safe 함수 사용을 최소화해야 합니다.

평문 비밀번호는 데이터베이스 유출 시 모든 계정이 즉시 노출되므로 반드시 해싱해야 합니다. MD5나 SHA-1 같은 빠른 해시는 브루트포스 공격에 취약하므로, bcrypt, PBKDF2, Argon2 같은 느린 해시 알고리즘을 사용해야 합니다. Salt는 각 비밀번호마다 고유한 랜덤 값을 추가하여 동일한 비밀번호도 다른 해시값을 갖게 만들어 Rainbow Table 공격을 방지합니다. Python에서는 bcrypt 라이브러리나 Django의 make_password 함수를 사용하며, 이들은 자동으로 Salt를 생성하고 적용합니다. 해시 라운드 수를 조정하여 연산 비용을 높일 수 있어 미래의 하드웨어 발전에도 대응할 수 있습니다.

CSRF는 공격자가 사용자가 의도하지 않은 요청을 인증된 세션을 통해 강제로 실행시키는 공격입니다. 사용자가 로그인된 상태에서 악의적인 사이트를 방문하면, 해당 사이트가 사용자 모르게 정상 사이트로 요청을 보내 비밀번호 변경이나 송금 등을 수행할 수 있습니다. CSRF 토큰은 서버가 생성한 예측 불가능한 값으로, 폼 제출 시 함께 전송되어 정당한 요청인지 검증합니다. Django는 템플릿에서 csrf_token 태그를 사용하고, Flask는 Flask-WTF 확장으로 자동 토큰 생성 및 검증을 수행합니다. GET 요청은 상태 변경을 일으키지 않도록 설계하고, POST, PUT, DELETE 등의 요청에만 CSRF 보호를 적용해야 합니다.

세션 하이재킹은 공격자가 사용자의 세션 ID를 탈취하여 해당 사용자로 위장하는 공격입니다. 방지하려면 HTTPS를 필수로 사용하고, 쿠키에 적절한 보안 속성을 설정해야 합니다. HttpOnly 속성은 JavaScript에서 쿠키 접근을 차단하여 XSS 공격으로 인한 세션 탈취를 방지합니다. Secure 속성은 HTTPS 연결에서만 쿠키를 전송하도록 하여 중간자 공격을 방지합니다. SameSite 속성은 크로스 사이트 요청에서 쿠키 전송을 제한하여 CSRF 공격을 방지합니다. 추가로 세션 타임아웃 설정, 로그인 후 세션 ID 재생성, IP 주소나 User-Agent 검증 등의 방법도 함께 사용해야 합니다.