[wcf] REST API / 웹 서비스 보안을위한 모범 사례 [닫기]

Github 에는 훌륭한 점검 목록이 있습니다 .

입증

• 인증, 토큰 생성, 암호 저장에서 바퀴를 재발 명하지 마십시오. 표준을 사용하십시오.

• Max Retry로그인에서 사용 및 탈옥 기능.

• 모든 중요한 데이터에 암호화를 사용하십시오.

JWT (JSON 웹 토큰)

• 임의의 복잡한 키 (JWT Secret)를 사용하여 토큰을 매우 단단하게 강제하십시오.

• 페이로드에서 알고리즘을 추출하지 마십시오. 백엔드에서 알고리즘을 강제 실행하십시오 (HS256 또는 RS256).

• 토큰 만료 ( TTL, RTTL)를 가능한 짧게 만드십시오 .

• JWT페이로드에 민감한 데이터를 저장하지 않고 쉽게 해독 할 수 있습니다.

OAuth

• redirect_uri허용 된 URL 만 허용하도록 항상 서버 측의 유효성을 검사하십시오 .

• 토큰이 아닌 코드를 항상 교환하십시오 (허용 안 함 response_type=token).

• 방지하기 위해 임의의 해시 상태 매개 변수를 사용하여 CSRF온 OAuth인증 프로세스.

• 기본 범위를 정의하고 각 애플리케이션에 대한 범위 매개 변수의 유효성을 검증하십시오.

접속하다

• DDoS / 무차별 대입 공격을 피하기 위해 요청을 제한 (스로틀 링)합니다.

• MITM (Man In The Middle Attack)을 피하려면 서버 측에서 HTTPS를 사용하십시오.

• HSTSSSL Strip 공격을 피하려면 SSL과 함께 헤더를 사용하십시오 .

입력

• GET(읽기), POST(만들기), PUT/PATCH(바꾸기 / 업데이트) 및 DELETE(레코드 삭제 ) 작업에 따라 적절한 HTTP 방법을 사용하고 405 Method Not Allowed요청 된 방법이 요청 된 리소스에 적합하지 않은 경우 응답 합니다.

• 요청에 대한 유효성 검사 콘텐츠 형식 Accept헤더 (콘텐츠 협상) 만 지원되는 형식 (예를 들면 수 있도록 application/xml, application/json과 등) 및 응답을 406 Not Acceptable일치하지 않는 경우 응답.

• 검증 content-type수락으로의 (예를 들어 데이터를 게시 application/x-www-form-urlencoded, multipart/form-data, application/json, 등).

• 일반적인 취약점 (예 : XSS, SQL-Injection, 원격 코드 실행 등)을 피하기 위해 사용자 입력의 유효성을 검사하십시오.

• URL에 민감한 데이터 (자격 증명, 비밀번호, 보안 토큰 또는 API 키)를 사용하지 말고 표준 Authorization헤더를 사용하십시오 .

• API Gateway 서비스를 사용하여 캐싱, Rate Limit정책 (예 : 할당량, 스파이크 체포, 동시 속도 제한) 을 활성화 하고 API 리소스를 동적으로 배포하십시오.

가공

• 인증 프로세스가 중단되지 않도록 모든 엔드 포인트가 인증으로 보호되는지 확인하십시오.

• 사용자 자신의 리소스 ID는 피해야합니다. / user / 654321 / orders 대신 / me / orders를 사용하십시오.

• ID를 자동 증가시키지 마십시오. 대신 UUID를 사용하십시오.

• XML 파일을 구문 분석하는 경우 XXE (XML 외부 엔티티 공격)를 피하기 위해 엔티티 구문 분석을 사용하지 않아야합니다.

• XML 파일을 구문 분석하는 경우 지수 엔티티 확장 공격을 통한 10 억 웃음 / XML 폭탄을 피하기 위해 엔티티 확장을 사용하지 않도록 설정하십시오.

• 파일 업로드에는 CDN을 사용하십시오.

• 방대한 양의 데이터를 처리하는 경우 Workers and Queues를 사용하여 가능한 한 많은 백그라운드에서 처리하고 응답을 빠르게 반환하여 HTTP 차단을 피하십시오.

• DEBUG 모드 를 끄는 것을 잊지 마십시오 .

산출

• X-Content-Type-Options: nosniff헤더를 보냅니다 .

• X-Frame-Options: deny헤더를 보냅니다 .

• Content-Security-Policy: default-src 'none'헤더를 보냅니다 .

• 헤더를 지문 제거 – X-Powered-By, Server, X-AspNet-Version등

• content-type응답을 강제 로 반환 application/json하면 응답 내용 유형은 application/json입니다.

• 자격 증명, 비밀번호, 보안 토큰과 같은 민감한 데이터는 반환하지 마십시오.

• 완료된 작업에 따라 올바른 상태 코드를 반환하십시오. (예를 들어 200 OK, 400 Bad Request, 401 Unauthorized, 405 Method Not Allowed, 등).

---

답변