좋아요!

2단계 인증(2FA)은 보안을 강화하는 추가 인증 수단이다.

비밀번호(지식) + OTP/인증앱(소유) 등 두 가지 인증 요소를 결합하여 보안을 높입니다.

JWT에서 Signature는 토큰 내용의 무결성을 검증한다.

Signature로 Header와 Payload가 변조되지 않았는지 확인합니다. 비밀키 없이는 위조 불가합니다.

RBAC(Role-Based Access Control)은 역할 기반으로 접근 권한을 관리한다.

사용자에게 역할(admin, editor, viewer)을 할당하고, 역할에 따라 권한을 부여합니다.

Clickjacking은 투명한 iframe으로 사용자를 속이는 공격이다.

투명 iframe 위에 합법적인 UI를 표시하여 사용자가 의도하지 않은 클릭을 하게 합니다. X-Frame-Options로 방어합니다.

Salt는 같은 비밀번호라도 다른 해시값을 생성하도록 하는 임의의 값이다.

Salt를 추가하면 같은 비밀번호도 사용자마다 다른 해시값이 되어 Rainbow Table 공격을 방지합니다.

SSH 키 인증은 비밀번호 인증보다 안전하다.

SSH 키는 무차별 대입 공격에 매우 강하며, 개인 키가 노출되지 않으면 안전합니다.

Key Stretching(키 스트레칭)은 해싱을 반복하여 연산 비용을 높인다.

bcrypt의 cost factor, PBKDF2의 반복 횟수 등이 키 스트레칭입니다. 무차별 대입 공격을 어렵게 합니다.

비밀번호는 길수록 보안에 좋다.

긴 비밀번호는 무차별 대입 공격에 더 오래 걸립니다. 복잡성보다 길이가 더 효과적입니다.

HTTP Only 쿠키는 JavaScript에서 접근할 수 없다.

HttpOnly 플래그가 설정된 쿠키는 document.cookie로 접근 불가하여 XSS를 통한 탈취를 방지합니다.

API Key는 인증(Authentication)이 아닌 식별(Identification)에 주로 사용된다.

API Key는 호출자를 식별하고 사용량을 추적합니다. 강력한 인증에는 OAuth 2.0 등을 사용합니다.

WAF(Web Application Firewall)은 웹 애플리케이션의 트래픽을 필터링한다.

WAF는 SQL Injection, XSS 등의 공격 패턴을 감지하고 차단합니다.

CSRF 토큰은 XSS 공격을 방어하기 위한 것이다.

CSRF 토큰은 CSRF 공격을 방어합니다. XSS 방어에는 입력 이스케이프, CSP 등이 사용됩니다.

bcrypt로 해싱된 비밀번호는 원래 비밀번호로 복호화할 수 없다.

bcrypt는 단방향 해시 함수입니다. 비밀번호 확인은 같은 방식으로 해시하여 비교합니다.

환경 변수(.env)에 비밀키를 저장하는 것이 코드에 하드코딩하는 것보다 안전하다.

환경 변수는 코드와 분리되어 Git에 노출될 위험이 적습니다. 하지만 서버 보안도 중요합니다.

CSRF(Cross-Site Request Forgery)는 사용자가 의도하지 않은 요청을 보내게 한다.

로그인된 사용자의 세션을 이용해 악성 사이트에서 자동으로 요청을 보냅니다.