[java] Apache XML Security 라이브러리와 XML 보안 테스트

21 Dec 2023

java

XML은 데이터를 교환하기 위한 표준 형식이지만, 보안 측면에서 취약할 수 있습니다. Apache XML Security 라이브러리를 사용하여 XML 문서를 안전하게 서명하고 암호화하는 방법을 살펴보겠습니다.

Apache XML Security 라이브러리란?

Apache XML Security 라이브러리는 XML 기반의 규격을 사용하여 암호화 및 디지털 서명을 지원하는 자유-오픈 소스 라이브러리입니다. 이 라이브러리는 Java 및 C++로 작성되었으며 W3C와 IETF의 표준 규격을 준수합니다.

XML 서명 및 암호화

Apache XML Security를 사용하여 XML 문서를 서명하고 암호화하는 과정은 다음과 같습니다.

XML 문서 로드
서명 생성 또는 암호화 설정
서명 또는 암호화 적용
결과 XML 저장 또는 출력

// Maven Dependency
<dependency>
    <groupId>org.apache.santuario</groupId>
    <artifactId>xmlsec</artifactId>
    <version>2.2.1</version>
</dependency>

// XML 서명
XMLSignatureFactory fac = XMLSignatureFactory.getInstance("DOM");
Reference ref = fac.newReference("#data", fac.newDigestMethod(DigestMethod.SHA1, null));
SignedInfo si = fac.newSignedInfo(fac.newCanonicalizationMethod(CanonicalizationMethod.INCLUSIVE, (C14NMethodParameterSpec) null),
        fac.newSignatureMethod(SignatureMethod.RSA_SHA1, null), Collections.singletonList(ref));
KeyInfoFactory kif = fac.getKeyInfoFactory();
KeyInfo ki = kif.newKeyInfo(Collections.singletonList(kif.newX509Data(Collections.singletonList(cert))));
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setNamespaceAware(true);
Document doc = dbf.newDocumentBuilder().parse(new FileInputStream("input.xml"));
DOMSignContext dsc = new DOMSignContext(privateKey, doc.getDocumentElement());
XMLSignature signature = fac.newXMLSignature(si, ki);
signature.sign(dsc);

// XML 암호화
XMLCipher xmlCipher = XMLCipher.getInstance(XMLCipher.TRIPLEDES);
xmlCipher.init(XMLCipher.ENCRYPT_MODE, secretKey);
EncryptedData encryptedData = xmlCipher.getEncryptedData();
KeyInfo keyInfo = new KeyInfo(doc);
keyInfo.add(encryptedData);
Element rootElement = doc.getDocumentElement();
xmlCipher.doFinal(doc, rootElement, true);

// 저장 또는 출력
Transformer transformer = TransformerFactory.newInstance().newTransformer();
transformer.setOutputProperty(OutputKeys.INDENT, "yes");
StreamResult result = new StreamResult(new File("output.xml"));
DOMSource source = new DOMSource(doc);
transformer.transform(source, result);

XML 보안 테스트

Apache XML Security 라이브러리를 사용하여 서명과 암호화된 XML 문서를 테스트하는 과정에는 다음과 같습니다.

입력 XML 로드
서명 또는 암호화 검증
결과 출력

마무리

Apache XML Security 라이브러리를 사용하여 XML 문서를 안전하게 서명하고 암호화하는 방법을 살펴보았습니다. 이를 통해 XML 데이터의 보안을 강화할 수 있으며, Apache의 라이브러리를 활용함으로써 효율적으로 보안을 강화할 수 있습니다.

참고 자료

Apache XML Security 라이브러리: Apache Santuario
W3C XML Signature: W3C