코더의 보안 정복: 공유 및 학습 시리즈 - 정보 노출

"말조심은 생명을 구한다"는 제2차 세계 대전 당시 미국에서 유행했던 문구입니다. 영국에서는 "부주의한 말은 목숨을 앗아간다"라는 말을 들을 수 있었죠. 이 격언의 핵심은 민감한 정보에 대해 함부로 말하면 스파이에게 도청당해 심각한 결과를 초래할 수 있다는 것이었습니다.

웹 애플리케이션을 구축할 때도 같은 원리가 적용됩니다. 웹 앱이 너무 많은 정보를 노출하면 공격자가 침입하기가 더 쉬워집니다.

이번 포스팅에서는 정보 노출이 무엇인지, 왜 위험한지, 그리고 이를 어떻게 방지할 수 있는지 알아보겠습니다.

정보 노출 이해하기

정보 노출이란 웹 애플리케이션이 내부 정보를 보지 말아야 할 사람들에게 드러내는 것을 의미합니다. 또한 로그 파일이나 사용자 인터페이스를 통해 민감한 고객 정보가 노출되는 경우도 포함됩니다. 어느 쪽이든 공격자는 발견한 정보를 이용해 시스템이나 사용자를 공격할 수 있습니다.

공격자의 첫 번째 단계는 종종 애플리케이션 내에서 오류를 발생시키는 것입니다. 잘못된 오류 처리와 웹 애플리케이션 설정은 오류 메시지를 통한 정보 노출로 이어집니다. 공격자가 애플리케이션에서 오류를 일으키면 어떻게 될까요? 스택 추적과 같은 기술적 세부 정보가 포함된 기술 오류 메시지가 나타난다면, 너무 많은 정보를 노출한 것입니다. 이러한 세부 정보에는 사용 중인 데이터베이스나 실행 중인 애플리케이션 서버의 버전 등이 포함될 수 있습니다.

민감한 정보는 다른 방식으로도 노출될 수 있습니다. 폼에 민감한 정보를 담고 있는 숨겨진 필드가 있나요? 공격자는 단순히 페이지 소스를 확인하는 것만으로도 그 값을 볼 수 있습니다.

요약하자면, 정보 노출은 사용자에게 꼭 필요한 정보만 공유해야 함에도 불구하고, 너무 쉽게 접근할 수 있도록 방치했을 때 발생합니다.

정보 노출이 위험한 이유 이해하기

공격자는 애플리케이션이 노출한 정보로 무엇을 할 수 있을까요? 정보가 민감한 성격의 것이라면 공격자는 신원이나 사용자 자격 증명을 훔칠 수 있습니다. 이는 금전적 피해, 개인정보 침해, 규제 기관의 벌금으로 이어질 수 있습니다.

공격자가 오류 메시지를 사용하여 애플리케이션에 대한 정보를 얻는다면, 그 정보는 향후 공격에 사용될 수 있습니다. 실제로 OWASP 테스트 가이드에는 정보 수집에 관한 전체 섹션이 있습니다.

OWASP 테스트 가이드는 검색 엔진을 사용하여 의도치 않게 노출된 웹사이트 정보를 찾아낼 것을 권장합니다. 예를 들어, 관리자 페이지가 검색 엔진에 노출되어 있지는 않나요? robots.txt 파일을 사용하여 특정 페이지를 색인하지 않도록 검색 엔진에 지시하세요. 동시에 robots.txt 파일 자체도 정보를 유출할 수 있습니다. 민감한 URL이 robots.txt 파일에 포함되는 경우가 있기 때문입니다. 공격자는 이 파일을 다운로드하여 사이트의 디렉터리 구조를 파악하기 시작합니다.

구글에는 웹사이트를 심층적으로 조사할 수 있는 고급 검색 옵션이 있습니다. 예를 들어, "site: <domain>" 구문을 사용하여 특정 사이트를 검색할 수 있습니다. 삭제되었지만 이전 색인 작업으로 인해 캐시에 남아 있는 페이지를 볼 수도 있습니다. 빙(Bing)이나 덕덕고(DuckDuckGo)와 같은 다른 검색 엔진을 사용하면 결과가 다를 수 있으므로, 각 검색 엔진에서 웹 애플리케이션의 어떤 정보가 노출되는지 테스트해 보세요.

HTTP 헤더, 웹사이트 배너, 심지어 HTML 및 자바스크립트 코드 내의 주석에도 공격자가 보지 말아야 할 정보가 포함될 수 있습니다. HTTP 헤더는 애플리케이션 서버와 버전 번호를 노출할 수 있습니다. 공격자는 이 정보를 사용하여 특정 버전에 대한 취약점을 찾을 수 있습니다. 공격자가 정보를 찾을 수 있는 모든 경로를 파악하고 이를 적절히 숨기는 방법을 확인하세요.

정보 노출 방지하기

정보 노출은 종종 웹 애플리케이션 설정 문제로 발생합니다. 많은 애플리케이션 서버는 기본적으로 오류 메시지에 스택 추적을 포함합니다. 운영 환경의 애플리케이션에서는 이 설정을 변경하여 문제 해결을 위한 오류는 기록하되, 사용자에게는 일반적인 오류 페이지를 보여주도록 하세요. 상세한 오류 메시지는 절대 사용자 브라우저로 반환되어서는 안 됩니다.

애플리케이션에 필요한 민감한 정보가 포함된 파일이 있다면, 적절한 접근 제어를 통해 애플리케이션 자체만 읽을 수 있도록 하세요. 서버에서 디렉터리 리스팅을 비활성화하고 이러한 파일을 웹 루트 디렉터리 외부로 이동시키세요. 이렇게 하면 공격자가 디렉터리 탐색 공격을 사용하여 브라우저로 파일에 접근하는 것을 방지할 수 있습니다.

로그가 올바르게 구성되지 않으면 정보 수집에 악용될 수 있습니다. 오류 발생 시 비밀번호, 세션 토큰, 개인식별정보(PII)와 같은 민감한 정보는 기록하지 마십시오. 공격자가 로그 파일에 접근할 수 있게 되면, 훔칠 수 있는 민감한 정보의 보고를 발견하게 될 것입니다. 필요한 수준 이상으로 기록하지 마십시오. 일반적으로 계정 식별자, 상세 오류 메시지, 오류가 발생한 메서드나 수행 중인 작업 정도면 충분합니다. 로그 파일은 비밀이 아니라고 가정하면 민감한 정보를 포함하려는 유혹을 떨쳐낼 수 있을 것입니다.

웹 애플리케이션을 위험에 빠뜨리지 마십시오

친구와 대화하다 무심코 흘린 정보 때문에 제2차 세계대전 당시 전함이 침몰하는 결과를 초래할 수 있을까요? 아마 아닐 것입니다. 하지만 굳이 위험을 감수할 필요가 있을까요? 이것이 바로 "입이 가벼우면 배가 침몰한다(Loose lips sink ships)"는 격언이 주는 교훈입니다.

마찬가지로, 웹 애플리케이션의 내부 작동 방식을 외부 세계에 노출할 이유가 없습니다. 전체 신용카드 번호나 비밀번호를 볼 이유도, 로그 파일에 PII 데이터를 담을 이유도 없습니다. 그러니 하지 마십시오.학습 리소스를 확인하여 정보 노출에 대해 자세히 알아보세요.

애플리케이션의 내부 작동 방식은 안전하게 보호하십시오. 웹 애플리케이션을 위험에 빠뜨리지 마십시오.

지금 바로 정보 노출을 막을 준비가 되셨나요? 도전에 나서십시오, 전사여: [시작하기]