문제 상황

• Electron 기반으로 프로그램이 결과 데이터를 Spring 서버로 전송하는 과정에서 CSRF 토큰을 요구하는 문제에 직면하게 됨
• CSRF 토큰이 없을 경우 서버에서 요청을 차단하여, 이로 인해 정상적인 데이터 전송이 불가능한 상황이 발생

이 문제를 해결하기 위한 개발 과정과 방법 기록

CSRF(Cross-Site Request Forgery)

개념

• 공격자 요청이 사용자의 요청인 것처럼 속이는 공격 방식
• 사용자가 특정 사이트에 로그인한 상태로 악의적인 웹 사이트에 방문하여 로그인하여 특정 사이트에 악성 요청을 보내도록 유도
• 사용자가 인증한 세션에서 웹 어플리케이션이 정상적인 요청과 비정상적인 요청을 구분하지 못하는 점을 악용

CSRF 보호가 필요한 이유

• 사용자가 특정 사이트에 로그인되어 있을 때, 공격자가 악성 웹사이트에 사용자를 유도하고 그 사이트에서 해당 사용자의 권한으로 로그인된 웹 애플리케이션에 요청을 보낼 수 있다.
  " 예를 들어, CSRF 공격은 사용자가 은행 웹사이트에 로그인되어 있을 때 공격자가 악성 요청을 보내 사용자의 계좌에서 자금을 이체하는 등의 동작을 실행할 수 있음."

• CSRF는 특히 사용자에게 보이지 않는 요청을 통해 이루어지기 때문에, 사용자가 이러한 공격을 알아차리지 못할 가능성이 크다.

Spring에서 CSRF 보호 방식

Spring Security는 CSRF 공격을 방지하기 위해 기본적으로 CSRF 보호를 활성화

동작 방식

1. CSRF 토큰 발급

• 사용자가 웹 애플리케이션에 접근할 때 서버는 CSRF 토큰을 발급하여 사용자에게 전달(서버가 생성한 임의의 값)
• 이 토큰은 사용자가 상태 변경 요청(POST, PUT, DELETE 등)을 보낼 때마다 함께 전송되어야 하며, HTML 폼이나 AJAX 요청의 헤더에 포함될 수 있음

2. CSRF 토큰 검증

• 서버는 요청 시 전달된 CSRF 토큰이 세션에서 관리되는 토큰과 일치하는지 확인
• 일치하지 않으면 서버는 요청을 거부하고, 이를 통해 CSRF 공격을 방지할 수 있음

3. CSRF 방어 전략

Spring Security에서 제공하는 기본적인 CSRF 보호 외에도 추가적인 방어 전략을 사용 가능

1. 쿠키 SameSite 속성: CSRF 공격을 방지하는 한 가지 방법은 쿠키에 SameSite 속성을 설정하여 해당 쿠키가 동일한 사이트에서만 전송되도록 제한하는 것
2. CORS(Cross-Origin Resource Sharing) 설정: 서버가 외부 도메인에서 온 요청을 허용하지 않도록 CORS 정책을 강력하게 설정할 수 있음.

문제 해결 과정

" Electron 에서 서버로 데이터 전송 시 CSRF 토큰 적용 "
-> Spring 서버에 요청을 보내기 위해서는 CSRF 토큰을 헤더에 포함해야 하는데, 이때 기존의 인증 쿠키와 함께 전송해보자

const headers = {
  'Cookie': cookieHeader,			// 인증 쿠키를 헤더에 포함
  'Content-Type': 'application/json',
  [csrfHeader]: csrfToken // CSRF 토큰을 헤더에 포함
};

const response = await axios.post('http://localhost: ~ ', {
  status: status,
  result: message
}, { headers });

• CSRF 토큰을 서버에서 발급받고, 클라이언트는 이를 헤더에 포함하여 서버로 전송.
• CSRF 헤더 처리 : 서버로 데이터를 전송할 때 CSRF 토큰과 함께 적절한 CSRF 헤더를 설정하여 요청을 정상적으로 처리

결과 : CSRF 토큰이 올바르게 전송되어 서버가 요청을 허용하고, 결과를 정상적으로 처리할 수 있음

CSRF 보호를 포함한 보안 관련 작업에서, 서버와 클라이언트 간의 인증 및 보안 절차의 중요성을 알게 된 이슈였다.
특히 CSRF와 같은 보안 위협을 방지하기 위해서는 서버에서 발급된 토큰을 적절하게 처리하고, 이를 클라이언트에서 정확히 전송하는 것이 필수로 생각하기 !