[go] Go 언어를 활용한 API 보안

07 Dec 2023

API는 현대 웹 어플리케이션에서 핵심적인 역할을 수행합니다. 하지만 API의 보안은 종종 간과되는 부분입니다. 공격자가 API를 악용하여 사용자 데이터를 탈취하거나 시스템을 파괴할 수 있습니다. 이러한 공격으로부터 API를 보호하기 위해서는 Go 언어의 다양한 보안 기능을 활용할 수 있습니다.

TLS 사용하기

API 요청과 응답을 암호화하기 위해서는 Transport Layer Security(TLS)를 사용해야 합니다. Go 언어는 net/http 패키지를 통해 TLS를 쉽게 구현할 수 있습니다. 아래는 간단한 예제 코드입니다.

package main

import (
	"net/http"
)

func main() {
	http.HandleFunc("/api", handleAPIRequest)

	err := http.ListenAndServeTLS(":443", "server.crt", "server.key", nil)
	if err != nil {
		panic(err)
	}
}

func handleAPIRequest(w http.ResponseWriter, r *http.Request) {
	// 요청 처리 로직을 작성합니다.
}

이 코드는 ‘/api’ 엔드포인트로 들어오는 모든 요청을 처리합니다. http.ListenAndServeTLS 함수를 사용하여 HTTPS 서버를 시작하고, handleAPIRequest 함수를 통해 요청을 처리합니다. 서버 설정은 server.crt와 server.key 파일을 통해 제공됩니다.

인증과 권한 부여

API에 접근하는 클라이언트를 인증하고, 해당 클라이언트에게 적절한 권한을 부여하는 것은 중요합니다. Go 언어는 이를 위해 JWT(JSON Web Token)를 제공합니다. JWT를 사용하여 클라이언트의 인증과 권한 부여를 간단하게 구현할 수 있습니다.

package main

import (
	"net/http"
	"time"

	"github.com/dgrijalva/jwt-go"
)

var JWTSecret = []byte("your_jwt_secret")

func main() {
	http.HandleFunc("/login", handleLoginRequest)
	http.HandleFunc("/api", handleAPIRequest)

	err := http.ListenAndServe(":8080", nil)
	if err != nil {
		panic(err)
	}
}

func handleLoginRequest(w http.ResponseWriter, r *http.Request) {
	// 로그인 로직을 작성합니다.

	// JWT 토큰 생성
	token := jwt.New(jwt.SigningMethodHS256)
	claims := token.Claims.(jwt.MapClaims)
	claims["username"] = "user"
	claims["exp"] = time.Now().Add(time.Hour * 24).Unix()

	tokenString, err := token.SignedString(JWTSecret)
	if err != nil {
		w.WriteHeader(http.StatusInternalServerError)
		return
	}

	w.Write([]byte(tokenString))
}

func handleAPIRequest(w http.ResponseWriter, r *http.Request) {
	// 토큰 검증 로직을 작성합니다.

	// 토큰 파싱
	tokenString := r.Header.Get("Authorization")
	if tokenString == "" {
		w.WriteHeader(http.StatusUnauthorized)
		return
	}

	token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
		return JWTSecret, nil
	})
	if err != nil || !token.Valid {
		w.WriteHeader(http.StatusUnauthorized)
		return
	}

	// API 요청 처리 로직을 작성합니다.
}

이 예제 코드에서는 /login 엔드포인트로 사용자 로그인을 처리하고 JWT 토큰을 발급합니다. 발급된 토큰은 클라이언트로 전달됩니다. 그 후 /api 엔드포인트로 들어오는 모든 요청은 토큰을 검증하여 인증하고 처리합니다.

취약점 테스트

API의 보안 취약점을 찾고 해결하기 위해서는 취약점 테스트가 필요합니다. Go 언어는 다양한 취약점 테스트 도구를 제공합니다. 예를 들어, Go-Sec는 Go 프로젝트에서 자주 발생하는 보안 취약점을 검사하는 도구입니다. Go-Sec를 사용하여 코드를 정적으로 분석하고 취약점을 찾을 수 있습니다.

go install github.com/securego/gosec/v2/cmd/gosec@latest
gosec ./...

이와 같이 Go-Sec를 설치한 후 해당 프로젝트 디렉토리에서 실행하면 취약점을 검사할 수 있습니다.

결론

Go 언어를 사용하여 API 보안을 강화하는 방법에 대해 알아보았습니다. TLS를 사용하여 통신을 암호화하고, JWT를 활용하여 클라이언트를 인증하고 권한을 부여할 수 있습니다. 또한, 취약점 테스트를 통해 보안 취약점을 검사하고 해결할 수 있습니다. API 보안은 매우 중요하므로 꼼꼼한 보안 검토가 필요합니다.