[지디넷코리아]가장 최신의 에이잭스 테크놀로지로 웹사이트를 만들고 싶은가? 아니면 기존의 애플리케이션을 에이잭스로 만들어 보는 건 어떻게 생각하는가?

SPI 연구소 선임 연구 엔지니어 브라이언 설리번과 팀 리더 빌리 호프만은 1일오후 (미국시간) 블랙햇에서 ‘시기상조 에이잭스화’ 대담 중 그렇게 말했다. 또 “개발자들은 작업 중에 다른 사람이 코드를 어떻게 사용할지에 관심없고, 단지 그 코드가 어떻게 작동하는지에만 주의를 기울인다”고 말했다.

그것을 증명하기 위해 설리반과 호프만은 ‘해커트래블닷컴(HackerTravel.com)’이라는 가상의 관광 사업 관련 웹사이트를 구축했다.

호프만은 “우리는 널리 알려진 에이잭스 웹사이트로부터 그리고 유명한 에이잭스 관련 서적에서 발견한 사례를 사용한다. 소위 믿을 만한 출처를 통해서 작업한다는 방식대로 이것을 제대로 구축했다고 말할 수 있다. 바로 이것이 이러한 애플리케이션을 개발하면서 고려해야 하는 사항이며, 그것을 출발점으로 삼아 이러한 애플리케이션을 어떻게 안전하게 개발 할 수 있는지 보여주어야 한다”고 말했다.

호프만은 업체들이 보통 써드파티를 고용해 사이트를 감시하게 하거나 침투 시험을 실시하도록 한 후, 개발자들의 책상에 PDF 리포트를 던져 주고는 “여기 있으니 고치시오”라고 한다고 지적했다. 그러면 개발자들이 하는 일은 구글에 ‘SQL 인젝션’이라고 검색 후, 첫 번째 페이지를 보고 “아, 이렇게 고치면 되겠네”라고 알아내는 일이란 것이다.

그러나 호프만은 “그것은 간단하게 되지 않는 일”이라고 지적했다.

대담 중 호프만은 브라우저에서 자바스크립트 검사를 함으로써 기능적인 에이잭스코드가 얼마나 쉽고 완벽하게 조작될 수 있는지를 보여주었다. 에이잭스는 민감한 결정 사항을 서버로부터 클라이언트로 전달하도록 설계됐다. 그것은 엔드 유저를 위한 프로세스의 속도를 높일 수 있지만 공격 프로세스에 노출될 수 있는 단점이 있다.

한 예로, 호프만은 자바스크립트를 조작해 항공기 티켓 가격을 1달러로 내려버렸다. 그는 ‘홀드 릴리스(Hold Release)’ 기능을 해제시켜 모든 좌석이 판매된 것으로 서비스를 거부하게 만들었다.

설리반과 호프만은 에이잭스와 관련하여 발표되고 있는 가장 최선의 조치에 문제가 있다고 말한다. 그들은 비즈니스 로직을 클라이언트 쪽에 부여하지 말고, 모든 기능 콜을 처리하기 위해 싱글 자바스크립트 이용을 자제하며 데이터셋(DataSet) 객체를 사용하지 말라고 권고한다.

모든 보안 사항들을 클라이언트의 반대편에 있는 서버 쪽에 저장할 때 사이트를 공격으로부터 더 효과적으로 보호할 수 있다. @