웹 개발

사이버 보안의 세계에서 **해싱(Hashing)**은 가장 기본적이면서도 종종 오해받는 개념 중 하나입니다. 해싱은 비밀번호를 보호하고, 다운로드한 파일의 무결성을 검증하며, 블록체인을 구동하는 보이지 않는 방패입니다. 그렇다면 해시란 정확히 무엇일까요? 왜 ‘복호화’할 수 없을까요? 그리고 가장 중요한 것은, 되돌릴 수 없다면 웹사이트는 사용자가 올바른 비밀번호를 입력했는지 어떻게 알 수 있을까요? 1. 해시 함수란 무엇인가요? 암호학적 해시 함수는 임의의 크기의 입력값(메시지)을 받아 고정된 크기의 문자열(다이제스트)로 변환하는 수학적 알고리즘입니다. 이 문자열은 보통 무작위로 나열된 알파벳과 숫자의 조합처럼 보입니다.

현대 웹 환경에서 보안은 단순한 기능이 아니라 필수적인 토대입니다. 애플리케이션이 점점 더 서로 연결됨에 따라, 서로 다른 출처(Origin)와 서버 간에 요청이 어떻게 처리되는지 이해하는 것은 모든 개발자에게 매우 중요합니다. 오늘은 모든 웹 개발자가 숙지해야 할 세 가지 핵심 개념인 SSRF, CSRF, 그리고 CORS에 대해 자세히 알아보겠습니다. 이름은 생소할 수 있지만, 이는 웹 애플리케이션 보안의 최전선을 담당하는 개념들입니다. 1. SSRF (Server-Side Request Forgery) SSRF는 공격자가 서버 측 애플리케이션을 조작하여 공격자가 선택한 임의의 도메인으로 HTTP 요청을 보내도록 만드는 취약점입니다.

JSON Web Token(JWT)은 당사자 간에 정보를 JSON 객체로 안전하게 전송하기 위한 업계 표준이 되었습니다. 세션 관리에 있어 개발자들은 종종 중요한 아키텍처 결정을 내려야 합니다. 바로 구현 방식이 **스테이트리스(Stateless)**여야 하는지, 아니면 **스테이트풀(Stateful)**이어야 하는지입니다. 두 방식 모두 장단점이 있으며, 적절한 선택은 애플리케이션의 규모, 보안 요구 사항 및 인프라에 따라 달라집니다. 1. 스테이트리스(Stateless) JWT 구현 순수 스테이트리스 구현에서는 모든 세션 데이터(사용자 ID, 역할, 만료 시간)가 JWT 자체에 직접 저장됩니다. 서버는 데이터베이스나 캐시에 세션 정보를 저장할 필요가 없습니다.