JavaScript 리드·아키텍트 보안 기술면접

JWT는 stateless 특성으로 확장성이 뛰어나지만 토큰 탈취 시 서버에서 즉시 무효화할 수 없다는 근본적인 리스크가 있습니다. 이를 완화하기 위해 Access Token의 만료시간을 짧게(15분 이내) 설정하고 Refresh Token을 별도로 관리하며, Refresh Token은 DB나 Redis에 저장해 취소 가능하도록 설계합니다. 권한 변경 즉시 반영을 위해서는 Redis 기반의 블랙리스트를 운영하거나, 중요 작업 시 실시간 권한 검증 레이어를 추가합니다. 토큰에는 최소한의 클레임만 포함하고 민감정보는 제외하며, 토큰 서명 알고리즘은 RS256을 사용해 공개키로만 검증 가능하도록 구성합니다. 또한 토큰 rotation 정책과 이상 탐지 시스템을 구축해 동일 토큰의 비정상적 사용 패턴을 모니터링합니다.

XSS 방어는 다층 접근이 필수이며, 먼저 Content Security Policy를 엄격하게 설정해 인라인 스크립트를 차단하고 허용된 도메인만 리소스를 로드하도록 제한합니다. React나 Vue 같은 프레임워크는 기본적으로 출력을 이스케이프하지만, dangerouslySetInnerHTML이나 v-html 같은 우회 방법은 코드 리뷰와 정적 분석 도구로 엄격히 통제합니다. 백엔드에서는 입력 검증 시 화이트리스트 기반 검증을 수행하고, DOMPurify 같은 라이브러리로 HTML 새니타이징을 적용합니다. 모든 쿠키에는 HttpOnly와 Secure 플래그를 설정하고, SameSite 속성으로 CSRF도 함께 방어합니다. 또한 Trusted Types API를 활용해 DOM 기반 XSS를 원천 차단하고, 정기적인 보안 스캐닝과 의존성 취약점 점검을 자동화합니다.

SPA에서는 일반적으로 JWT를 localStorage나 sessionStorage에 저장하고 Authorization 헤더로 전송하는 방식을 사용하면 CSRF 공격에 자연스럽게 면역됩니다. 하지만 쿠키 기반 인증을 사용할 경우 SameSite=Strict 또는 Lax 속성을 설정해 크로스 사이트 요청 시 쿠키 전송을 차단하는 것이 가장 효과적입니다. 전통적인 CSRF 토큰 방식은 모든 브라우저에서 동작하고 세밀한 제어가 가능하지만, SPA에서는 토큰 관리와 동기화가 복잡하고 API 요청마다 토큰을 포함해야 하는 오버헤드가 있습니다. SameSite 쿠키는 구현이 간단하고 성능 오버헤드가 없지만, 오래된 브라우저에서는 지원하지 않고 정당한 크로스 사이트 요청도 차단될 수 있습니다. 실무에서는 SameSite=Lax를 기본으로 설정하고, 중요한 작업에는 추가로 커스텀 헤더 검증이나 Origin 검증을 조합하는 방식을 권장합니다.

민감정보 암호화는 데이터 특성에 따라 전략을 구분해야 하며, 패스워드는 bcrypt나 argon2 같은 해시 함수로 단방향 암호화하고, 복호화가 필요한 개인정보는 AES-256-GCM 같은 대칭키 암호화를 사용합니다. 암호화 키는 절대 코드에 하드코딩하지 않고 AWS KMS, HashiCorp Vault, Azure Key Vault 같은 키 관리 서비스를 활용해 안전하게 저장하고 접근 제어합니다. 데이터 암호화 키(DEK)와 키 암호화 키(KEK)를 분리하는 엔벨로프 암호화 패턴을 적용해, DEK는 데이터와 함께 암호화된 형태로 저장하고 KEK는 KMS에서 관리합니다. 키 로테이션은 자동화된 스케줄로 수행하되, 새 키로 암호화하고 기존 데이터는 점진적으로 재암호화하는 블루-그린 방식을 사용합니다. 비대칭키는 서비스 간 통신이나 디지털 서명이 필요한 경우에 사용하며, 공개키는 배포하고 개인키는 KMS에서 엄격히 관리합니다. 또한 암호화 작업은 성능 영향을 고려해 필요한 필드만 선택적으로 암호화하고, 감사 로그를 통해 키 접근과 암호화 작업을 추적합니다.

API 보안은 다층 방어 전략이 필수이며, 먼저 CloudFlare나 AWS WAF 같은 CDN/WAF 레이어에서 DDoS 공격과 악성 트래픽을 필터링합니다. Rate Limiting은 Redis 기반으로 구현하되, IP 단위, API Key 단위, 엔드포인트 단위로 다층 제한을 적용하고, 토큰 버킷이나 슬라이딩 윈도우 알고리즘을 사용해 버스트 트래픽도 유연하게 처리합니다. API Key는 해시 처리해 저장하고, 키별로 권한 범위(scope)를 설정하며, 만료 시간과 IP 화이트리스트를 함께 관리합니다. 민감한 응답 데이터는 필드 레벨 암호화나 마스킹을 적용하고, GraphQL을 사용할 경우 쿼리 복잡도 분석과 depth 제한으로 과도한 데이터 조회를 방지합니다. API Gateway 레벨에서 요청/응답 로깅, 이상 탐지, 트래픽 분석을 수행하고, 의심스러운 패턴은 자동으로 차단하거나 알림을 발생시킵니다. 비용 효율성을 위해 정적 콘텐츠는 CDN 캐싱을 최대화하고, 서버리스 아키텍처로 트래픽에 따른 자동 스케일링을 구현합니다.

의존성 보안 관리는 CI/CD 파이프라인에 통합된 자동화가 핵심이며, npm audit, Snyk, Dependabot 같은 도구를 활용해 커밋마다 취약점을 스캔하고 심각도에 따라 빌드를 차단합니다. package-lock.json을 반드시 버전 관리에 포함해 재현 가능한 빌드를 보장하고, 정기적으로 의존성을 업데이트하되 메이저 버전 업그레이드는 별도 테스트 환경에서 검증합니다. 취약점 발견 시 심각도가 높으면 24시간 내 패치하고, 중간 수준은 1주일 내, 낮은 수준은 다음 스프린트에 처리하는 SLA를 정책으로 수립합니다. 패치가 불가능한 경우 대체 패키지를 찾거나, 취약한 기능을 사용하지 않는다면 예외 처리하되 리스크를 문서화합니다. Private npm registry를 운영해 승인된 패키지만 사용하도록 제한하고, 새 패키지 도입 시 보안 리뷰를 거치도록 프로세스를 수립합니다. 또한 SBOM(Software Bill of Materials)을 생성해 전체 의존성 트리를 추적하고, 정기적인 보안 교육으로 개발팀의 보안 인식을 높입니다.

개인정보 보호는 Privacy by Design 원칙에 따라 시스템 설계 단계부터 고려해야 하며, 먼저 데이터 수집 시 목적별로 필요한 최소한의 정보만 수집하고 각 필드별로 수집 근거와 보유 기간을 명확히 정의합니다. 동의 관리 시스템은 세분화된 동의 항목별로 사용자가 선택할 수 있게 하고, 동의 이력을 타임스탬프와 함께 감사 가능하게 저장하며, 동의 철회 시 즉시 관련 데이터 처리를 중단합니다. 데이터 이동권 구현을 위해 사용자 데이터를 JSON이나 CSV 같은 표준 포맷으로 내보내는 API를 제공하고, 비동기 작업으로 처리해 대용량 데이터도 안전하게 처리합니다. 잊힐 권리는 단순 삭제가 아니라 백업, 로그, 캐시, CDN 등 모든 저장소에서 데이터를 제거하는 완전 삭제 프로세스를 구축하되, 법적 보관 의무가 있는 데이터는 익명화 처리합니다. 지역별 데이터 레지던시 요구사항을 충족하기 위해 멀티 리전 아키텍처를 구성하고, EU 사용자 데이터는 EU 리전에만 저장하도록 데이터 라우팅을 설계합니다. 모든 개인정보 접근과 처리는 상세히 로깅하고, 정기적인 개인정보 영향 평가(PIA)와 감사를 수행합니다.