스티밋(steemit) 웹 사이트의 보안성

ksgeemit (45)in #steemit • 7 years ago (edited)

안녕하세요.

사실 컴퓨터가 생기고 나서 가장 오래되고 활발한 분야는 컴퓨터 게임이나 모바일 애플리케이션이 아닌 웹사이트입니다.

1989년 월드 와이드 웹(WWW)에 탄생 이후 지금 이 순간까지 엄청난 양의 웹사이트가 만들어지는 거와 같이 수많은 웹 해킹 취약점도 자연스럽게 만들어집니다.

실제로 현대 사회에 큰 문제 중 하나인 랜섬웨어는 대부분 취약한 웹사이트를 접속하는 행위만으로 감염됩니다. 웹사이트의 악의적인 코드가 실행되게 만들어 놓고 접속을 유도하죠.

그렇다면 스티밋 웹사이트의 보안성은 어떨까요?

저는 크게 세 가지로 웹사이트의 보안성을 평가해 봤습니다.

1. HTTPS

공격자가 중간에서 통신을 훔쳐봐도 데이터가 모두 암호화되기 때문에 해석할 수도 변경하지도 못하게 됩니다.

이 외에도 외부의 비정상적인 파일의 유입을 차단하여 해커를 더욱더 힘들게 하는 다양한 보안 기능을 제공합니다.

사실 이거는 현재 웹 사이트들의 가장 기본적인 보안에 대한 태도입니다.

스티밋은 모든 서브도메인까지 HTTPS를 강요하듯이 보안을 준수하고 있습니다.

만약 개인정보를 이용하는 사이트 특히 거래소에서 HTTPS을 사용하지 않는 웹사이트가 있다면 이용하지 않는걸 추천드립니다.

2. HTTP HEADER

솔직히 저는 국내 웹사이트 중 스티밋처럼 이렇게 신경을 많이 쓴 곳을 본 적이 없습니다.

Strict-Transport-Security:max-age=31557600; includeSubDomains; preload
X-Content-Type-Options:nosniff
X-DNS-Prefetch-Control:off
X-Download-Options:noopen
X-Frame-Options:SAMEORIGIN
X-XSS-Protection:1; mode=block

스티밋의 선언된 헤더 정보를 하나하나 보안 측면에서 살펴보면 다음과 같습니다.

Strict-Transport-Security : HTTP 사용금지
X-Content-Type-Options : 타입에 대한 Sniff 지원 안 함
X-Download-Options : 파일 다운로드 시 실행이 아닌 저장 및 취소 지원
X-Frame-Options : 외부 사이트에서 프레임을 지원하지 않음
X-XSS-Protection : Cross Site Script(XSS) 보안 사용

위에 요소들이 있고 없고는 정말 천지차이입니다.

예를 들어 랜섬웨어 감염의 주된 원인이 되는 Cross Site Script(XSS) 취약점은 공격 포인트만 찾으면 누구나 쉽게 악의적인 코드의 삽입이 가능합니다.

하지만 만약 위에 헤더 정보들을 선언해주면 제일 중요한 공격 포인트를 찾아도 악의적인 코드를 삽입할 수가 없습니다.

왜냐면 일단 XSS-Protection으로 인해서 공격 포인트에 악의적인 코드를 삽입하려고 하면 백신이 바이러스를 잡듯이 바로 탐지가 돼버립니다. (크롬 XSS-Protection도 최근에 업데이트 후 좋아졌습니다.)

또한 HTTPS 사용으로 인해 외부 리소스 사용에 제약이 걸려서 최근 공격에 사용됐던 link 태그, swf 파일을 이용한 취약점 공격도 방지되고

X-Frame-Options으로 인해서 해커 서버에서 IFrame 태그를 사용하여 타사이트에 프레임을 만드는 방식의 공격도 보안이 되고 X-Content-Type-Options을 통해서 MINE Sniffing 취약점이 보호되는거 같이 알게 모르게 수많은 취약점 공격으로 부터 보호됩니다.