맨-인-더-미들(Man-in-the-Middle) 공격이란 무엇인가요?

김상욱·2024년 12월 31일
0

맨-인-더-미들(Man-in-the-Middle) 공격이란 무엇인가요?

맨-인-더-미들(Man-in-the-Middle, MITM) 공격은 사이버 보안 위협 중 하나로, 공격자가 두 당사자 간의 통신을 몰래 가로채고, 심지어 수정하거나 조작할 수 있는 상황을 말합니다. 이를 통해 공격자는 민감한 정보(예: 로그인 자격증명, 개인 데이터, 금융 정보 등)를 탈취하거나 시스템에 악의적인 영향을 미칠 수 있습니다.

기술적인 작동 원리

  1. 통신 가로채기 : 공격자는 두 당사자 간의 통신 경로에 끼어들어 데이터를 가로챕니다. 이는 주로 공개된 Wi-Fi 네트워크나 취약한 네트워크를 통해 이루어집니다.
  2. 데이터 도청 및 수정 : 가로챈 데이터를 분석하거나, 필요에 따라 데이터를 수정할 수 있습니다. 예를 들어, 사용자가 서버에 로그인하려고 할 때, 공격자는 로그인 정보를 탈취할 수 있습니다.
  3. 인증 우회 : 공격자는 중간에서 통신을 중계하면서 자신을 서버나 클라이언트로 가장할 수 있습니다. 이를 통해 사용자는 공격자가 신뢰할 수 있는 당사자로 오인하게 됩니다.

백엔드 개발자 입장에서의 MITM의 공격 사례

  • API 통신 : 클라이언트 애플리케이션과 서버 간의 API 통신이 HTTPS를 통해 암호화되지 않으면, 공격자가 데이털를 가로챌 수 있습니다.
  • OAuth 인증 : OAuth와 같은 인증 메커니즘을 사용할 때, 토큰이 안전하게 전송되지 않으면 탈취될 위험이 있습니다.
  • 세션 관리 : 세션 쿠키가 안전하게 설정되지 않으면, 공격자가 세션을 탈취하여 인증된 사용자로 가장할 수 있습니다.

방어 방법

암호화 사용(HTTPS) : 모든 통신을 HTTPS로 암호화하여 데이터가 전송 중에 가로채이더라도 내용을 해독하기 어렵게 만듭니다. Spring Boot에서는 SSL/TLS 설정을 통해 쉽게 HTTPS를 구현할 수 있습니다.
강력한 인증 및 권한 부여 : OAuth, JWT와 같은 강력한 인증방식을 사용하여 사용자와 서버 간의 신뢰성을 높입니다.
인증서 검증 : 클라이언트와 서버가 서로의 인증서를 검증하도록 설정하여, 중간에서의 인증서 위조를 방지합니다.
최신 보안 패치 적용 : 사용 중인 라이브러리와 프레임워크의 보안 패치를 최신 상태로 유지하여 알려진 취약점을 악용한 공격을 방지합니다.
보안 헤더 사용 : Spring Security를 활용하여 HTTP 보안 헤더를 설정함으로써 다양한 공격 벡터를 줄일 수 있습니다.
네트워크 보안 강화 : 방화벽, 침입 탐지 시스템(IDS), 침입 방지 시스템(IPS) 등을 활용하여 네트워크 수준에서의 공격을 탐지하고 차단합니다.

물론입니다! 취업 준비 중인 신입 Java/Spring 백엔드 개발자로서 맨-인-더-미들(MITM) 공격을 이해하고 방어하는 데 도움이 되는 실습 프로젝트와 학습 활동을 소개해드리겠습니다. 이러한 실습을 통해 보안 개념을 실제로 적용해보고, 실무에서 필요한 보안 기술을 익힐 수 있습니다.

1. HTTPS 설정 및 구현 실습

목표: Spring Boot 애플리케이션에 HTTPS를 설정하여 통신을 암호화하는 방법을 배웁니다.

실습 단계:
1. Spring Boot 프로젝트 생성:

  • Spring Initializr를 사용하여 간단한 Spring Boot 애플리케이션을 생성하세요.
  • 필요한 의존성으로는 Spring Web을 선택합니다.

  1. SSL 인증서 생성:

    • 개발 환경에서 테스트용으로 자체 서명된 인증서를 생성합니다.
    • 터미널에서 다음 명령어를 실행하여 키스토어(keystore.jks)를 생성합니다:
      keytool -genkeypair -alias myapp -keyalg RSA -keystore keystore.jks -keysize 2048
    • 생성 과정에서 비밀번호와 기타 정보를 입력합니다.

  2. Spring Boot에 SSL 설정 추가:

    • application.properties 또는 application.yml 파일에 SSL 설정을 추가합니다.
      server.port=8443
server.ssl.key-store=classpath:keystore.jks
server.ssl.key-store-password=your_password
server.ssl.key-password=your_password
server.ssl.key-store-type=JKS
    • keystore.jks 파일을 src/main/resources 디렉토리에 위치시킵니다.

  3. 애플리케이션 실행 및 확인:

    • 애플리케이션을 실행한 후, 브라우저에서 https://localhost:8443으로 접속하여 HTTPS가 정상적으로 작동하는지 확인합니다.
    • 브라우저 경고는 자체 서명된 인증서이기 때문에 발생할 수 있습니다. 실제 배포 시에는 신뢰할 수 있는 인증 기관(CA)에서 발급받은 인증서를 사용해야 합니다.

2. API 통신 암호화 및 테스트

목표: 클라이언트와 서버 간의 API 통신을 HTTPS로 보호하고, MITM 공격 시나리오를 시뮬레이션하여 방어 방법을 학습합니다.

실습 단계:
1. REST API 엔드포인트 생성:

  • 간단한 REST API 엔드포인트(예: /api/secure-data)를 생성합니다.
  • 예제 코드:
    @RestController
@RequestMapping("/api")
public class SecureController {
    
    @GetMapping("/secure-data")
    public ResponseEntity<String> getSecureData() {
        return ResponseEntity.ok("This is secure data.");
    }
}

  1. HTTPS를 통해 API 호출:

    • Postman 또는 cURL을 사용하여 HTTPS를 통해 API를 호출해봅니다.
      curl -k https://localhost:8443/api/secure-data
    • -k 옵션은 자체 서명된 인증서를 무시하고 호출하기 위한 것입니다.

  2. MITM 공격 시나리오 시뮬레이션:

    • Wireshark 설치: 네트워크 패킷을 캡처하고 분석할 수 있는 툴입니다.
    • 가상 네트워크 환경 설정: 두 대의 머신(클라이언트와 서버)과 MITM 공격을 수행할 공격자 머신을 설정합니다. 로컬 환경에서 간단하게 시뮬레이션할 수 있습니다.
    • 패킷 캡처: 공격자 머신에서 Wireshark를 사용하여 클라이언트와 서버 간의 패킷을 캡처합니다. HTTPS가 제대로 설정되어 있다면 데이터가 암호화되어 읽을 수 없음을 확인합니다.

  3. 방어 검증:

    • HTTPS 설정을 해제하고 HTTP로만 통신할 경우, 공격자가 데이터를 쉽게 캡처할 수 있음을 확인합니다.
    • 다시 HTTPS를 설정하고, 데이터가 암호화되어 안전하게 전송되는지 확인합니다.

3. JWT(Json Web Token) 기반 인증 구현

목표: JWT를 사용하여 클라이언트와 서버 간의 인증을 구현하고, 토큰의 보안을 강화하는 방법을 학습합니다.

실습 단계:
1. Spring Security 설정:

  • spring-boot-starter-security 의존성을 추가합니다.
    <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

  1. JWT 라이브러리 추가:

    • JWT 생성 및 검증을 위한 라이브러리를 추가합니다. 예: jjwt.
      <dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

  2. JWT 생성 및 검증 로직 구현:

    • 사용자 인증 후 JWT를 생성하여 클라이언트에 반환합니다.
    • 클라이언트는 이후 요청 시 JWT를 포함하여 인증을 수행합니다.
    • 예제 코드:
      @RestController
@RequestMapping("/auth")
public class AuthController {
    
    @PostMapping("/login")
    public ResponseEntity<String> login(@RequestBody UserCredentials credentials) {
        // 사용자 인증 로직 (예: 데이터베이스 조회)
        if (authenticate(credentials)) {
            String token = Jwts.builder()
                                .setSubject(credentials.getUsername())
                                .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 1일
                                .signWith(SignatureAlgorithm.HS512, "secret_key")
                                .compact();
            return ResponseEntity.ok(token);
        }
        return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("Invalid credentials");
    }
}

  3. JWT 필터 구현:

    • 모든 요청에서 JWT를 검증하는 필터를 추가합니다.

    • 예제 코드:

      public class JwtFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        String header = request.getHeader("Authorization");
        if (header != null && header.startsWith("Bearer ")) {
            String token = header.substring(7);
            try {
                Jwts.parser().setSigningKey("secret_key").parseClaimsJws(token);
                // 인증 성공 로직
            } catch (JwtException e) {
                response.sendError(HttpStatus.UNAUTHORIZED.value(), "Invalid JWT token");
                return;
            }
        }
        filterChain.doFilter(request, response);
    }
}

  4. 보안 강화:

    • 비밀 키 관리: secret_key는 환경 변수나 안전한 저장소에 보관합니다.
    • 토큰 만료 설정: 토큰의 유효 기간을 적절히 설정하여 보안을 강화합니다.
    • HTTPS 사용: JWT가 포함된 요청도 HTTPS를 통해 암호화하여 전송합니다.

4. 인증서 검증 및 핀닝 구현

목표: 클라이언트와 서버 간의 인증서를 검증하여 MITM 공격을 방지하는 방법을 배웁니다.

실습 단계:
1. 서버 측 인증서 검증 설정:

  • Spring Boot 애플리케이션에서 클라이언트 인증서를 요구하도록 설정할 수 있습니다.
  • application.properties에 다음을 추가합니다:
    server.ssl.client-auth=need
server.ssl.trust-store=classpath:truststore.jks
server.ssl.trust-store-password=your_truststore_password

  1. 클라이언트 인증서 생성:

    • 클라이언트용 키스토어와 트러스트스토어를 생성합니다.
    • 예시 명령어:
      keytool -import -alias server -file server_cert.crt -keystore truststore.jks

  2. 클라이언트 측 인증서 설정:

    • 클라이언트 애플리케이션에서 서버 인증서를 검증하도록 설정합니다.
    • Java 클라이언트에서 HttpsURLConnection을 사용할 경우, 신뢰할 수 있는 트러스트스토어를 설정합니다.

  3. 테스트 및 검증:

    • 올바른 인증서를 사용하여 클라이언트가 서버에 접근할 수 있는지 확인합니다.
    • 인증서가 유효하지 않거나 없을 경우 접근이 차단되는지 테스트합니다.

5. 보안 헤더 설정 실습

목표: HTTP 보안 헤더를 설정하여 다양한 공격으로부터 애플리케이션을 보호하는 방법을 학습합니다.

실습 단계:
1. Spring Security 설정:

  • WebSecurityConfigurerAdapter를 확장하여 보안 설정을 커스터마이즈합니다.
    @Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .headers()
                .contentSecurityPolicy("default-src 'self'")
                .and()
                .httpStrictTransportSecurity()
                    .includeSubDomains(true)
                    .maxAgeInSeconds(31536000)
                .and()
                .frameOptions().deny()
                .and()
            .csrf().disable()
            .authorizeRequests()
                .anyRequest().authenticated();
    }
}

  1. 보안 헤더 효과 확인:

    • 브라우저의 개발자 도구를 사용하여 응답 헤더를 확인하고, 설정한 보안 헤더가 적용되었는지 확인합니다.
    • 예를 들어, Content-Security-Policy, Strict-Transport-Security, X-Frame-Options 등이 설정되었는지 확인합니다.

  2. 추가 보안 헤더 설정:

    • 필요에 따라 다른 보안 헤더(예: X-Content-Type-Options, Referrer-Policy, Feature-Policy)도 설정할 수 있습니다.
      http
    .headers()
        .xssProtection().block(true)
        .and()
        .contentTypeOptions()
        .and()
        .referrerPolicy(ReferrerPolicyHeaderWriter.ReferrerPolicy.NO_REFERRER)
        .and()
    // 기타 설정

6. 네트워크 보안 도구 사용 실습

목표: 네트워크 보안 도구를 사용하여 실시간으로 트래픽을 모니터링하고, 잠재적인 MITM 공격을 탐지하는 방법을 배웁니다.

실습 단계:
1. Wireshark 설치 및 사용:

  • Wireshark를 설치합니다.
  • 로컬 네트워크에서 애플리케이션의 트래픽을 캡처하여 분석해봅니다.
  • HTTPS 트래픽의 경우, 데이터가 암호화되어 있음을 확인합니다.

  1. 인증서 스니핑 시도:

    • MITM 프록시 도구(예: Burp Suite)를 사용하여 트래픽을 가로채보세요.
    • HTTPS를 사용한 통신에서는 인증서 오류가 발생하여 공격이 어려움을 확인합니다.

  2. 침입 탐지 시스템(IDS) 사용:

    • 간단한 IDS인 Snort를 설치하고 기본 규칙을 설정하여 의심스러운 트래픽을 탐지해봅니다.

7. 종합 프로젝트: 안전한 웹 애플리케이션 구축

목표: 위에서 배운 모든 보안 개념을 종합하여 안전한 웹 애플리케이션을 구축합니다.

프로젝트 단계:
1. 기능 요구사항 정의:

  • 사용자 인증 및 권한 부여
  • 민감한 데이터 보호 (예: 사용자 정보, 금융 데이터)
  • 안전한 API 엔드포인트 제공

  1. Spring Boot 애플리케이션 개발:

    • 사용자 등록 및 로그인 기능 구현
    • JWT 기반 인증 및 권한 부여 설정
    • REST API 엔드포인트 보호

  2. 보안 설정 적용:

    • HTTPS 설정 및 SSL 인증서 적용
    • 보안 헤더 설정
    • 인증서 검증 및 클라이언트 인증서 요구 설정

  3. 테스트 및 검증:

    • 다양한 보안 시나리오를 테스트하여 애플리케이션의 보안성을 검증합니다.
    • MITM 공격 시도 및 방어 메커니즘 확인

  4. 문서화:

    • 보안 설정과 구현한 기능에 대한 문서를 작성하여 포트폴리오로 활용합니다.

추가 학습 자료

결론

실습을 통해 이론적인 지식을 실제로 적용해보는 것은 매우 중요한 학습 방법입니다. 위에서 소개한 실습들을 차근차근 따라 하면서, Java와 Spring을 사용한 백엔드 개발에서 보안을 강화하는 다양한 방법을 익혀보세요. 또한, 지속적으로 최신 보안 동향을 학습하고, 보안 관련 커뮤니티에 참여하여 실무에 필요한 보안 감각을 키우는 것이 중요합니다. 성공적인 취업을 기원합니다!

profile
김상욱
이전 포스트

Brute Force 공격이란 무엇이며, 어떻게 방어하나요?

다음 포스트

보안에서의 인젝션 공격에는 어떤 것들이 있나요?

0개의 댓글