파이썬으로 데이터베이스 암호화하기

파이썬으로 데이터베이스 암호화하기 - SQL 인젝션 방지

06 Nov 2023

python

소개

SQL 인젝션은 웹 애플리케이션에서 가장 일반적인 보안 취약점 중 하나입니다. 이는 악의적인 사용자가 입력값에 대한 신뢰할 수 없는 데이터를 제공하여 데이터베이스에 악성 SQL 문을 삽입하는 것을 의미합니다. 이러한 공격을 막기 위해 데이터베이스 암호화를 사용할 수 있습니다.

데이터베이스 연결 설정

파이썬에서 데이터베이스 연결을 설정할 때, 암호화가 가능한 드라이버를 선택하고 SSL/TLS 인증서를 설정해야 합니다. 예를 들어, MySQL 경우 pymysql을 사용하고 SSL/TLS 설정을 적용할 수 있습니다.

import pymysql.cursors

# 데이터베이스 연결 설정
connection = pymysql.connect(host='localhost',
                             user='user',
                             password='password',
                             db='mydb',
                             charset='utf8mb4',
                             cursorclass=pymysql.cursors.DictCursor,
                             ssl={'ca': '/path/to/ca.cert.pem'})

위 예시에서 ssl 인자를 사용하여 SSL/TLS 인증서를 지정합니다. 암호화된 연결을 설정하는 것은 중요하지만, SQL 인젝션 공격을 완전히 막지는 못합니다.

Prepared Statements 사용하기

SQL 인젝션을 방지하기 위해 Prepared Statements를 사용할 수 있습니다. Prepared Statements는 SQL 쿼리 본문과 데이터를 분리하여 데이터를 동적으로 삽입할 수 있도록 도와줍니다. 이를 통해 입력값이 SQL 쿼리로 해석되는 것을 방지할 수 있습니다.

import pymysql.cursors

connection = pymysql.connect(host='localhost',
                             user='user',
                             password='password',
                             db='mydb',
                             charset='utf8mb4',
                             cursorclass=pymysql.cursors.DictCursor)

# Prepared Statements 사용
try:
    with connection.cursor() as cursor:
        # SQL 쿼리 작성
        sql = "SELECT * FROM users WHERE username=%s AND password=%s"

        # 데이터 삽입
        username = 'admin'
        password = 'password123'

        # Prepared Statements 실행
        cursor.execute(sql, (username, password))

        # 결과 가져오기
        result = cursor.fetchone()

        if result:
            print('로그인 성공')
        else:
            print('로그인 실패')
finally:
    connection.close()

위 예시에서는 execute 메서드의 두 번째 인자로 데이터 값을 전달하는 방식으로 Prepared Statements를 사용합니다. 이를 통해 사용자의 입력값을 직접 SQL 쿼리에 삽입하지 않고, 안전하게 데이터베이스와 상호작용할 수 있습니다.

결론

SQL 인젝션은 웹 애플리케이션 보안에서 중요한 이슈 중 하나입니다. 파이썬에서 데이터베이스를 암호화하고 Prepared Statements를 사용하여 SQL 인젝션을 방지할 수 있습니다. 그러나 이외에도 정적인 쿼리 검증, 입력값 검증 등의 추가적인 보안 조치가 필요합니다. 항상 데이터베이스 보안에 대해 주의하고, 최신 보안 업데이트를 유지하는 것이 중요합니다.

참고: Prepared Statements - Wikipedia