NOTE

전자서명

RSA 전자서명 구조

:RSA 암호시스템을 이용한 전자서명의 안전도는 RSA 암호시스템의 안전도와 일치

:암호화의 경우에서처럼 수신자의 키를 사용하는 것이 아닌 송신자의 개인키와 공개키를 사용

:메시지 대신 메시지의 해시값에 서명을 하면 RSA 전자서명 구조에 대한 위험성은 해시 알고리즘의 강도에 좌우

타원곡선 전자서명 구조

:타원곡선에 기반을 둔 DSA(=ECDSA)

:짧은 처리 시간에 짧은 서명 생성이 가능

EIGamal 전자서명 구조

:EIGamal 암호시스템과 동일한 키를 사용하지만 알고리즘은 다르다.(이산대수 문제를 이용한 최초의 서명 방식)

:EIGamal 서명 알고리즘은 실제로 거의 사용되지 않는다.

Schnorr 전자서명 구조

:EIGamal에 기반을 두고 있지만 서명의 크기를 줄인 구조

DSS(=DSA , 전자서명표준)

:미국의 전자서명 표준으로 EIGamal  전자서명을 개선한 방식

:서명과 검증에 소요되는 계산량을 획기적으로 줄인 방식

:전자서명 기능만 제공, 암호화나 키 교환에 사용되지 않는다.

:EIGamal 서명 스킴보다 서명 길이가 320비트로 짧고, EIGamal에 대한 공격 중 일부가 적용되지 않는다.

KCDSA

:국내 전자서명 표준

:EIGamal 전자서명을 개선, DSS를 변형한 방식

전자서명 방식

특수 전자서명

전자서명 응용

-보안공지

-소프트웨어의 다운로드

-공개키 인증서(공개키에 전자서명을 붙인 것)

-전자투표

-전자입찰

전자서명으로 해결할 수 없는 문제

:"서명 검증을 할 때 이용하는 공개키가 진짜 송신자의 공개키일 것"

:해결방법(공개키 인증서)

전자투표

전자입찰

공개키 기반 구조(PKI, Public-Key Infrastructure)

:공개키 암호 기법을 이용한 인증 수단으로, 사전에 공유된 비밀 정보가 없어도 인증서에 기반해 상대방을 인증할 수 있다.

:공개키 알고리즘을 통한 암호화 및 전자서명을 제공하기 위한 복합적인 보안 시스템 환경을 말한다.

:기밀성, 무결성, 접근제어, 인증, 부인방지의 보안서비스를 제공

:인증기관, 등록기관, 사용자, 신뢰 당사자, 저장소 등의 요소로 구성

PKI의 주요 구성요소

PKI의 형태

공개키 인증서(PKC, Public-Key Certificate)

:공개키가 특정인의 것이라는 것을 확신할 수 있는 증거로서의 기능을 수행한다.

:공개키 인증서에는 개인정보 및 그 사람의 공개키가 기재되고, 인증기관의 개인키로 전자서명 되어있다.

:인증서 표준 규격은 ITU(국제전기통신연합)나 ISO(국제표준화기구)에서 정의하고 있는 X.509라는 규격이다.

:X.509 인증서는 IPsec, SSL/TLS, SET, S/MIME에 사용된다.

X.509 v3 인증서 양식

인증서 확장 영역

:공개키 정보와 연관된 추가적인 정보를 제공하며, 인증서 계층 구조를 관리할 수 있는 방법을 제공한다.

-키와 정책 정보

-사용자와 발행자 속성

-인증 경로 제약조건

CRL(Certificate Revocation List)

:인증서 폐지 목록(CRL)이라고 하며 인증기관의 저장소 or 디렉터리 시스템 등에 등재하여 신뢰 당사자가 언제든지 목록을 검색할 수 있도록 하여야 한다.

:버전, 서명 알고리즘 및 발급 기관의 이름, 인증서 발급입, 다음 번 갱신일, 취소된 인증서에 대한 정보(일련번호, 폐지일자, 폐지사유) 등이 포함

폐지사유

-사용자 개인키가 노출 or 훼손

-CA가 사용자를 더 이상 인증X

-CA의 인증서가 노출 or 훼손

온라인 인증서 상태 검증 프로토콜(OCSP, Online Certificate Status Protocol)

:실시간으로 인증서의 상태 정보를 확인할 수 있는 효율적인 방법

:OCSP 클라이언트, OCSP 서버, 인증 서버로 구성

서버 기반 인증서 검증 프로토콜(SCVP, Simple Certification Validation Protocol)

:SCVP 서버를 이용하여 클라이언트의 인증서 처리에 대한 부담을 줄여준다.

:인증서의 유효성 혹은 신뢰할 수 있는 인증서의 체인 등 다양한 정보를 제공

:클라이언트의 구현을 단순화시키고 기업 내에서 신뢰 및 정책 관리를 중앙 집중식으로 처리할 수 있도록 허용하는 데에 목적

일방향 해시함수

충돌

:2개의 다른 메시지가 같은 해시값을 갖는 것을 충돌(Collision)이라고 한다.

충돌내성

:충돌을 발견하는 것이 어려운 성질을 가리킨다.

해시함수의 보안 요구사항

전자서명에 이용되는 해시함수의 특성

:해시값을 고속으로 계산

:약 일방향성=프리이미지 저항성

:강 일방향성=제2프리이미지 저항성

:충돌 회피성=충돌 저항성

키가 없는 해시함수

SHA(Secure Hash Algorithm)

:1993년 미국 표준 기술 연구소(NIST)에서 FIPS PUB 180 출판 -> SHA-0(표준 폐기)

:1995년 NIST에서 FIPS 180-1 출판-> SHA-1

:2002년 NIST에서 FIPS 180-2 출판-> SHA-2(SHA-256 / 224, SHA-512 / 384 ), 2004년 3DES 키 크기에 맞춰 해시값 크기를 조정한 SHA-224가 표준에 추가

:2008년 NIST에서 FIPS 180-3 출판-> SHA-3 공모 -> 2012년 Keccak이 해시 알고리즘으로 선정

https://ko.wikipedia.org/wiki/SHA

키가 있는 해시함수

해시함수 응용

-무결성점검

-소프트웨어 변경 검출

-메시지 인증 코드

-전자서명

랜덤 오라클 모델

해시함수에 대한 공격

일방향 해시함수로 해결할 수 없는 문제

:조작과 변경을 검출할 수 있지만 거짓행세를 검출하지 못한다.

:무결성외 거짓행세를 검출하기 위해 인증이라는 절차가 필요

:해결방법(메시지 인증 코드, 전자서명)

변경 감지 코드(MDC, Modification Detection Code)

:메시지가 변경되지 않았다는 것(무결성)을 보장

:키가 없는 해시함수

메시지 인증 코드(MAC)

키 배송 문제

:대칭키 암호를 사용하려고 하면 키 배송 문제(key distribution problem)가 발생

키 배송 문제 해결 방법

-키의 사전 공유

-키 분배 센터에 의한 해결(온라인 키 분배)

-Diffie-Hellman 키 교환

-공개키 암호

키의 사전 공유

키 분배 센터(KDC, Key Distribution Center)에 의한 해결

Diffie-Hellman 키 교환(Diffie-Hellman 키 합의)

공개키 암호

공개키 암호의 역사

:1976년 휘트필드 디피 & 마틴 헬만이 공개키 암호의 아이디어를 발표

:1978년 론 라이베스트 & 아디 샤미르 & 레너드 애들먼이 공개키 알고리즘과 RSA를 발표

:현재 공개키 암호의 표준은 RSA

RSA 암호시스템

Rabin 암호시스템

EIGamal 암호시스템

타원 곡선 암호시스템(ECC, Elliptic Curve Cryptosystem)

ECC와 RSA 방식의 비교

대칭키 방식과 비대칭키 방식의 비교

하이브리드 암호시스템

현대 블록 암호

:(이동, 교환, 분할, 조합), 전치 장치(Permutation, P-box), 치환 장치(Substitution, S-box), XOR연산의 조합으로 만들어진다.

S-box(혼돈,비선형 함수)

:입력비트와 출력비트의 개수가 같지 않아도 된다.

:역함수가 존재할 수 있고, 존재하지 않을 수도 있다.

:역함수가 존재하는 S-box는 입력 비트 == 출력 비트 개수가 동일

P-box(확산)

단순(Straight) P-box : 입력 비트와 출력비트는 일대일 대응, 역함수가 존재한다.

축소(Compression) P-box : 입력 비트 중 특정 비트는 소실되어 출력되지 않는다, 역함수 X

확장(Expansion) P-box : 입력 비트 중 특정 비트는 한 개 이상의 출력비트와 연결된다, 역함수 X , 비트 증가

혼돈과 확산

혼돈 : 암호문과 키 사이의 관계를 숨긴다.

확산 : 암호문과 평문 사이의 관계를 숨긴다. 평문의 통계적 성질을 암호문 전체에 퍼뜨려 숨긴다.

혼합 암호(Product Cipher)

:치환(Substitution) 암호와 전치(Permutation) 암호의 2가지 방법을 모두 사용하는 암호화 방법이다.

라운드(Round)

:반복적으로 사용되는 혼합 암호를 라운드라고 한다.

양자 암호

:하이젠베르크의 불확정성 원리를 응용한 암호화 방식이다.

파이스텔 암호(Feistel Cipher)

:블록 암호의 일종으로, 암호화 방식이 라운드 함수의 반복으로 이루어 진다.

:키 순서를 제외한 암호화 방식과 복호화 방식이 동일하다.

:파이스텔 구조(파이스텔 네트워크)는 3라운드 이상이며, 짝수 라운드로 구성된다.

:파이스텔 구조는 많은 블록 암호 알고리즘 (MARS, RC6, Twofish)에서 사용되고 있다.

출처:https://ko.wikipedia.org/wiki/%ED%8C%8C%EC%9D%B4%EC%8A%A4%ED%85%94_%EC%95%94%ED%98%B8

SPN 구조(Substitution-Permutation Network)

:평문을 여러 개의 작은 블록으로 나누고 각 블록을 S-box로 입력하여 치환하고 나온 출력값을 P-box로 전치하는 과정을 반복하는 방식이다.

:라운드 함수가 역변환이 된어야 한다.

:많은 병렬성을 제공하기 때문에 암·복호화 알고리즘의 고속화를 요구한다.

현대 스트림 암호

:동기식과 비동기식 두 가지 종류로 분류된다.

동기식 스트림 암호

:키 스트림은 평문 or 암호문 스트림과 독립적이다.

-One-Time Pad(가장간단하고 안전한 암호, 키의 전달과 보관이 문제) 

-FSR(귀환 함수, 시프트 레지스터로 구성) 

-LFSR(하드웨어로 쉽게 구현, 선형성 때문에 공격에 취약)

-NLFSR(LFSR보다 안전한 스트림 암호)

-OFB(Output FeedBack)모드

비동기식 스트림 암호

:키 스트림은 평문 or 암호문 스트림에 종속적이다.

-CFB(Cipher FeedBack)모드는 스트림 암호 생성

DES(Data Encryption Standard)

3DES(Triple-DES)

:하드웨어에서 매우 효율 적, 소프트웨어에서는 비효율적이다.

AES(Advanced Encrypiton Standard)

기타 대칭키 암호 알고리즘

Feistel , SPN 알고리즘

블록 알고리즘 종류

블록 암호 모드

블록 모드 : ECB, CBC

스트림 모드 가능한 블록 모드 : CFB, OFB, CTR

블록 암호 공격

치환 암호와 전치 암호

치환 암호 : 평문의 문자를 다른 문자로 교환하는 규칙이다.

전치 암호 : 문자 집합 내부에서 자리를 바꾸는 규칙이다.

블록 암호와 스트림 암호

블록 암호 : 평문을 일정한 크기의 블록으로 잘라낸 후 암호화 알고리즘을 적용하여 암호화한다.

스트림 암호 : 데이터 흐름(스트림)을 순차적으로 처리해가는 암호 알고리즘이며, 평문과 키 스트림을 XOR하여 암호화한다.

링크 암호화와 종단간 암호화

링크 암호화

:물리 계층과 데이터링크 계층에서 암호화

종단간 암호화

:애플리케이션 계층에서 암호화

주요 암호기술

기타 암호기술

케르크호스프의 원리(Kerckhoff's principle)

:키를 제외한 시스템의 다른 모든 내용이 알려지더라도 암호시스템은 안전해야 한다는 원리이다.

암호분석의 종류

암호기술 평가

암호모듈의 안정성 평가(CMVP, Cryptographic Module Validation Program)

:CMVP는 암호모듈 안전성 검증을 위한 프로그램이다.

정보보호

:정보의 (수집,가공,저장,검색,송신,수신) 중에 발생하는 정보의 (훼손,변조,유출) 등을 방지하기 위한 (관리적,기술적) 수단 또는 그러한 수단으로 이뤄지는 행위

정보보호의 목표

정보보호 관리

OSI 보안 구조 *OSI(Open System Interconnection) : 개방형 시스템간 상호접속

소극적 공격과 적극적 공격

:보안 공격을 X.800과 RFC 2828에 따라 분류하면 소극적 공격과 적극적 공격으로 나눌 수 있다.

기밀성을 위협하는 공격(Passive, 소극적 공격)

무결성을 위협하는 공격(Active, 적극적 공격)

가용성을 위협하는 공격(Active, 적극적 공격)

보안 서비스

:시스템 보안이나 데이터 전송의 보안을 보장하는 서비스

:보안 정책과 보안 메커니즘에 의해서 구현된다.

시점별 통제

:취약점을 감소시키거나 억제하기 위해 사용되는 메커니즘을 말한다.

네이버에서 '구글' 검색한 결과를 웹 디버거 Fiddler로 확인한 결과입니다.

HTTP Request

<웹 디버거 Fiddler로 확인한 HTTP Request - 1>

HTTP Requset 메세지는 3가지 섹션으로 나눠진다.

:Request Line, Message Header, Message Body

Request Line은 Method, URL, Version로 구성된다.

Message Header는 뒤에 :(콜론)이 있으며, 공백 다음에 정보를 나타낸다.

Message Body는 페이지의 정보나 페이지에 필요한 인자값이 들어간다. 

<웹 디버거 Fiddler로 확인한 HTTP Request - 2>

Message Header 부분과 Message Body 사이 개행(Newline)이 있다.

GET 방식은 Message Body를 필요로 하지 않기 때문에 Message Body에 값이 들어가지 않는다.

HTTP 전송 방식 : 웹 서버로부터 자료를 가져오는 기능을 하는 GET을 많이 사용한다.

요청된 URL : 클라이언트가 자룔르 요청하기 위해 보내는 인자 값 등 임의의 쿼리 문자열을 의미한다.

HTTP 버전 : HTTP 버전은 1.0과 1.1이고, 대부분의 브라우저는 초기 값으로 1.1을 쓴다.

Host : URL 주소에 나타난 호스트명을 자세하게 나타내기 위해 사용, 다양한 웹사이트가 하나의 서버 안에서 호스트 됐을 때 필요

Referer : 해당 요청이 이전에 어디에서부터 요청을 받았는지에 대한 URL을 나타낸다.

User-Agent : 브라우저나 기타 클라이언트의 소프트웨어 정보를 보여 준다.

Cookie: 서버가 클라이언트에게 전송한 인자 값에 추가 정보를 보낼 때 사용한다.

HTTP Response

<웹 디버거 Fiddler로 확인한 HTTP Response - 1>

HTTP Response 메세지도 마찬가지로 3가지 섹션으로 구분된다.

:Response Line, Message Header, Message Body

Response LiIne은 Version, Status Code, Status Phrases로 구성된다.

<웹 디버거 Fiddler로 확인한 HTTP Response - 2>

HTTP 버전 : 1.0 or 1.1 주로 1.1

요청에 대한 상태 코드 : '200'이 표시되면 요청이 성공적으로 이뤄졌고 요청한 자료가 클라이언트에게 보내졌다는 것을 뜻한다.

응답에 대한 상황을 설명해 주는 문자열 : 정상적으로 페이지가 전달됐기 때문에 OK라는 값을 보내준다.

Server : 웹 서버의 소프트웨어 정보를 제공하며, 가끔 설치 되어 있는 모듈과 운영체제에 대한 정보를 포함하기도 한다.

Set-Cookie : 브라우저에게 쿠키에 대한 정보를 알려준다. 클라이언트가 서버에게 페이지 요청 시 쿠키 형태로 사용된다.

Pragma : 브라우저가 응답한 내용을 캐시에 저장되지 않게 한다.

Expries : 응답한 내용이 만기가 되면 캐시에 저장되지 않게 한다.

Content-Length : Message Body 길이를 바이트 단위로 나타낸다.

핵심 방어 메커니즘

- 권한 없는 사용자, 데이터와 기능에 대한 사용자 접근 처리

- 의도하지 않은 행동을 유발하는 사용자 입력 값 처리

- 공격자에 대한 처리

- 실시간 모니터링 기능을 사용한 애플리케이션 관리

사용자 접근 처리

웹 애플리케이션 통제 3가지 보안 메커니즘

- 인증

- 세션관리

- 접근통제

# 인증

: 사용자가 자기 자신에 대해 어떤 사용자라고 주장하는 사실을 확인하는 것이다.

: 로그인 프로세스가 기본적으로 사용된다.

문제점

:다른 사용자의 아이디와 비밀번호를 추측하거나, 로직에 있는 결함을 악용함으로써 인증 과정을 우회할 가능성이 있다.

# 세션 관리
:인가된 사용자의 세션을 효과적으로 관리하는 것이다.

:애플리케이션은 각 사용자를 위한 세션을 만들어 주거나 사용자에게 세션을 확인하게 하는 토큰을 발행한다.

:세션은 서버에 할당되어 있는 데이터 집합의 구조이다.

:토큰은 애플리케이션이 세션에 나타내는 독특한 문자열이다.

:세션 토큰을 전송하는 표준 방법은 쿠키(Cookie)이다.

문제점

토큰에 대해 매우 의존도가 높기 때문에 공격자의 입장에서는 다른 사용자에게 발행한 토큰에 대해 집중적으로 공격이 이뤄지는 경향이 있다.

# 접근 통제

:애플리케이션에서 사용자의 요청이 허가되는지 아닌지 결정을 내리고 실행하는 것이다.

:항상 강력하게 설계되고, 다양한 요소를 고려해 구현해야 한다.

:사용자에 대한 식별을 통해 적절하게 수행되어야 한다.

사용자 입력 값 처리

:사용자가 입력한 값이 안전한 상태로 처리되어야 한다는 점

:공격자가 입력한 값을 안전한 방식으로 처리하는 것을 '입력 값 검증'이라 부른다.

:'입력 값 검증'은 공격자가 악의적으로 입력한 값에 대한 필수적인 방어 요소이다.

다양한 입력 값

:사용자가 입력한 값뿐만 아니라 브라우저를 통해 전달되는 다양한 데이터 항목을 받아들이기도 한다.

입력 값 조작에 대한 처리 방법

- 위험하다고 알려진 것들은 모두 차단

유효성 검증 메커니즘 : 블랙리스트(비효율적 방법)

:블랙리스트에 매칭되는 데이터를 차단하고 그 외의 값들은 허용한다.

문제점

:블랙리스트 기반 필터는 NULL 바이트 공격에 대한 취약점이 있다.

:차단된 표현식 전에 NULL 바이트를 입력하면 필터는 입력된 값들을 프로세스하지 않기 때문에 표현식을 인식하지 않는다.

- 안전하다고 알려진 것들은 모두 수용

유효성 검증 메커니즘 : 화이트리스트(효과적인 방법)

:화이트리스트에 일치하는 데이터를 허용하고 그 이외의 값은 차단한다.

문제점

사용자 입력 값을 제어하는 문제에 대해서는 완벽한 해결책은 아니다.

불순물 제거

:불안전한 문자를 안전한 상태로 바꾸는 것

경계 검증

:악의적인 입력 값으로부터 애플리케이션을 보호하기 위한 가장 효과적인 접근 방식

다단계 검증과 정규화

:입력 값의 한 부분이라도 수정이 일어나지 않을 때까지 계속 재귀적으로 불순물 제거 작업을 수행하는 것이다.

공격자 핸들링

:공격자가 공격을 실패하게 하기 위해 구현된 방법

- 에러 핸들링

- 감사 로그 관리

- 관리자에게 경고

- 공격에 대응

에러 핸들링

:시스템 기반 메시지나 디버깅 정보를 노출시켜서는 안 된다.

:대부분 웹 개발 언어는 try-catch 구문과 예외 검사를 통해 에러를 다룬다.

:서버에서 처리할 수 없는 에러를 특별한 정보가 없는 임의의 에러 메시지로 설정할 수 있다.

감사 로그 관리

:침해시도에 대한 조사가 이뤄질 때 조사에 우선시되는 요소

:각 이벤트의 시간과 요청이 들어온 곳의 IP 주소, 세션 토큰, 사용자의 계정 등을 기록

- 로그인 성공, 로그인 실패, 비밀번호 변경과 같은 인증 기능과 관련된 모든 이벤트

- 시용카드 결제와 자금 이체 같은 주요 거래

- 접근 통제 메커니즘에 의해 막혀진 접근 시도

- 잘 알려진 공격 문자열을 포함하고 있는 악의적인 의도를 명확하게 표시하는 요청

관리자에게 경고

경고 메커니즘

- 하나의 IP 주소나 한 명의 사용자로부터 비정상적으로 많은 양의 요청을 받은 경우

- 하나의 은행 계좌로부터 평소와 다르게 많은 돈이 인출된 경우

- 잘 알려진 공격 문자열을 포함하는 경우

- 일반 사용자들에게 숨겨진 데이터가 수정된 경우

공격에 대응

:비정상적인 작동을 유발시키는 입력 값을 차단 -> 필터를 우회하는 기법이 있기 때문에 취약점 존재

:공격자의 행동을 무력화하기 위한 자동 대응 조치 

ex) 요청에 점차적으로 늦게 대응, 공격자의 세션 종료시키고 다음 공격으로 이어지기 전에 로그인이나 다른 단계를 수행

애플리케이션 관리

:관리란 관리자에게 사용자 계정과 역할 관리, 감시와 감사 기능에 접근, 진단 작업 수행, 애플리케이션의 기능을 설정하는 방법 등 제공하는 애플리케이션 보안 메커니즘의 주요한 부분이다.

- 인증 메커니즘의 약점은 공격자가 전체 애플리케이션을 위험에 빠지게 할 수 있는 관리적인 접근 획득이 가능할 수 있다.

HTTP(hypertext transfer protocol)

:웹 서버와 사용자의 웹 브라우저 사이에 문서를 전송하기 위해 사용되는 통신 규약 프로토콜이다.

:비연결지향적 프로토콜

프론트엔드(Front-End)

:웹사이트 디자인이나 버튼 기능처럼 사용자가 바로 볼 수 있는 부분이다.

:HTML, CSS 등이 대표적인 프론트엔드 기술
 

백엔드(Back-End)

:사용자가 눈으로 볼 수 없는 뒷단 기술이다.
:서버단 기술이라 불리기도 한다. 
:DB, 서버를 다루는 부분이 벡엔드 기술

SSL(Secure Socket Layer)

:인터넷에서 데이터를 안전하게 전송하기 위한 인터넷 통신 규약이다.

:인터넷 프로토콜이 보안면에서 기밀성을 유지하지 못한다는 문제를 극복하기 위해 개발되었다.
:인터넷 상거래시 요구되는 개인 정보와 크레딧카드 정보의 보안 유지에 가장 많이 사용되고 있는 프로토콜이다.

서드파티(Third Party)

:다른 회사 제품에 이용되는 소프트웨어나 주변 기기를 개발하는 회사.

인증 실패

:로그인 메커니즘상의 다양한 취약점

:쉽게 추측이가능한 비밀번호 허용하는 취약점

:무차별 대입 공격을 허용하는 취약점

:인증 우회를 허용하는 취약점

접근 통제 실패

:민감한 데이터나 기능에 대해 불법적인 사용자의 접근을 제대로 통제하지 못하는것

:서버 내의 다른 사용자의 민감한 데이터를 열람하는 취약점
:서버 관리자용 업무를 수행할 수 있는 권한을 획득하는 취약점

SQL 인젝션(Structured Query Language Injection)
:SQL 입력문에 대한 필터링이 없을 경우, 공격자가 SQL문으로 해석될 수 있는 입력을 시도하여 DB에 접근 할 수 있는 보안 취약점

:DB에서 원하는 임의의 데이터를 가져오게 하는 취약점
:DB 서버에 원하는 명령을 수행하는 취약점

XSS(Cross Site Scripting)

:공격자가 대상 사이트의 다른 사용자로 도용 가능하게 하거나, 웹사이트에 방문하는 사용자들에게 악의적인 공격을 수행가능하게 하는 취약점
:공격자에 의해 작성된 스크립트가 다른 사용자에게 전달되는 것이다.

정보 누출

:애플리케이션이 내부에서 발생하는 에러 처리의 결함이나, 다른 비정상적인 기능으로 인해 민감한 정보를 공격자에게 누출함으로써 공격자가 공격을 위한 정보를 수집하는데 도움을 주는 취약점

CSRF(Cross Site Request Forgery)

:불특정 다수를 대상으로, 로그인된 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 하게 만드는 공격이다.

프로세스(Process)

:컴퓨터 내에서 실행중인 프로그램
:여러 분야에서 과정 또는 처리라는 뜻으로 사용

클라이언트(Client)

:사용자가 서버에 접속했을 때 클라이언트는 사용자 자신을 말한다.

:사용자의 컴퓨터를 가리키기도 한다.

:컴퓨터에서 동작하고 있는 프로그램이 될 수도 있다.

쿠키(Cookie)

:어떠한 웹 사이트에 방문할 때 생성되는 정보를 담은 임시 파일로 크기는 4KB 이하로 작다.

:인터넷 사용자의 정보를 사용자의 컴퓨터에 저장한다.

Session Cookie 

:웹 사이트를 탐색하는 동안, 사용자의 컴퓨터 메모리에만 존재하는 쿠키 

:웹 브라우저가 종료되거나 탭이 닫힐 때 쿠키 삭제된다.

Persistent Cookie

:사용자 컴퓨터에 파일로 저장되는 쿠키

:유효 기간이 있으며, 웹 사이트가 해당 사용자에 대한 정보를 추적하거나 기억할 수 있도록 한다.

Secure Cookie

:secure 속성이 사용되는 쿠키

:HTTPS를 통해 암호화 되어 서버로 전송된다.
HttpOnly Cookie

:HttpOnly 속성이 사용되는 쿠키

:HTTP or HTTPS를 통한 요청을 전송할 때만 사용된다.
Third-Party Cookie

:도메인 이외의 도메인에서 만들어진 쿠키

:웹 페이지 내의 광고를 통해 생성된다.

세션(Session)

:통신에서는 사용자 간 또는 컴퓨터 간의 활성화된 연결

:프로그램 사용과 관련해서는 한 응용프로그램이 시작해서 종료할 때까지의 시간

:사용자가 웹 브라우저를 통해 웹 서버에 접속한 시점으로부터 웹서버 접속을 종료하는 기간을 말하며, 

 웹서버에 사용자의 정보를 저장한다.

토큰(Token)

:데이터 통신에서는 송신권(송신 허가증)

:문자열에서 구분할 수 있는 단위

:애플리케이션이 세션에 나타내는 독특한 문자열

SMTP(Simple Mail Transfer Protocol)

:인터넷에서 전자우편을 보낼 때 이용하게 되는 표준 통신 규약이다.

SOAP(Simple Object Access Protocol)

:웹서비스를 실제로 이용하기 위한 객체 간의 통신 규약이다.

:인터넷을 통하여 웹서비스가 통신할 수 있게 하는 역할을 담당하는 기술

URL(Uniform Resource Locator)

:자원 위치 지정자

:자원을 검색할 때 사용한다.

URL 형식

프로토콜://호스트명[:포트 번호]/[경로/]파일명[?param=값]

http://terms.naver.com/entry.nhn?docId=3571733&cid=59088&categoryId=59096

REST(Representational State Transfer)

:분산 시스템에서 사용하는 아키텍처 스타일이며, 요청과 응답 내용에 시스템 자원의 현재 상태를 나타낸다.

:WWW, HTTP 프로토콜, URL 형식 등에서 사용하는 핵심 기술은 REST 아키텍처 스타일과 비슷하다.