[javascript] 앵귤러의 보안 취약점과 대응 방법

05 Dec 2023

javascript

앵귤러는 우수한 보안 기능을 가진 웹 프레임워크입니다. 하지만 개발자가 적절한 보안 대책을 취하지 않으면 취약점이 발생할 수 있습니다. 이번 글에서는 앵귤러의 주요 보안 취약점과 대응 방법에 대해 알아보겠습니다.

1. XSS(Cross-Site Scripting)

XSS는 악의적인 사용자가 스크립트를 삽입하여 앵귤러 애플리케이션을 공격하는 기법입니다. 이를 방지하기 위해 앵귤러는 기본적으로 입력 데이터의 이스케이프 처리를 수행하고, DomSanitizer 서비스를 제공합니다. 개발자는 사용자 입력값을 적절히 필터링하고, DomSanitizer를 사용하여 안전하게 출력해야 합니다.

import { DomSanitizer } from '@angular/platform-browser';

constructor(private sanitizer: DomSanitizer) {}

sanitizeInput(input: string): string {
  // 입력값 필터링
  // ...

  // 안전하게 출력
  return this.sanitizer.bypassSecurityTrustHtml(input);
}

2. CSRF(Cross-Site Request Forgery)

CSRF는 인증된 사용자가 모르게 공격자의 의도대로 액션을 수행하게 하는 공격입니다. 앵귤러는 CSRFGuard를 포함하여 CSRF 방어를 위한 기능을 제공합니다. 개발자는 앵귤러의 CSRF 토큰을 사용하여 공격을 방지할 수 있습니다.

import { HttpClientXsrfModule, HttpXsrfTokenExtractor } from '@angular/common/http';

@NgModule({
  imports: [
    // ...
    HttpClientXsrfModule.withOptions({
      cookieName: 'XSRF-TOKEN',
      headerName: 'X-XSRF-TOKEN',
    }),
  ],
})
export class AppModule {
  constructor(private tokenExtractor: HttpXsrfTokenExtractor) {}

  getCsrfToken(): string {
    return this.tokenExtractor.getToken();
  }
}

3. 디렉티브 인젝션(Directive Injection)

디렉티브를 사용하여 애플리케이션을 확장할 수 있지만, 잘못된 사용은 보안 취약점을 유발할 수도 있습니다. 앵귤러는 디렉티브 인젝션으로부터 보호하기 위해 @HostBinding 및 @HostListener 데코레이터, Safe Navigation Operator(?.) 등의 기능을 제공합니다. 개발자는 이러한 기능을 적절히 활용하여 디렉티브의 인젝션 공격을 방지할 수 있습니다.

<button [innerHTML]="unsafeHtml"></button>

import { Directive, ElementRef, HostBinding } from '@angular/core';

@Directive({
  selector: 'button',
})
export class ButtonDirective {
  @HostBinding('innerHTML')
  get innerHtml(): string {
    return this.sanitize(this.unsafeHtml);
  }

  constructor(private elementRef: ElementRef) {
    this.unsafeHtml = elementRef.nativeElement.innerHTML;
  }

  sanitize(html: string): string {
    // 안전한 HTML로 변환
    // ...
  }
}

앵귤러는 위와 같은 대응 방법을 제공하여 개발자가 애플리케이션의 보안을 강화할 수 있습니다. 하지만 보안은 끊임없이 변화하는 주제이므로, 최신 보안 업데이트를 유지하고 보안 커뮤니티와의 소통을 통해 앵귤러 애플리케이션의 취약점을 최소화해야 합니다.

1. XSS(Cross-Site Scripting)

2. CSRF(Cross-Site Request Forgery)

3. 디렉티브 인젝션(Directive Injection)

참고 자료