API 키가 헤더에 노출되는 문제

Question

프론트엔드에서 백엔드로 API 요청을 보낼 때, 헤더에 X-API 키 값을 넣어서 요청을 보내고 있습니다. 그리고 백엔드에서는 이 API 키가 있을 때만 JSON 값을 응답하도록 설정을 했습니다.그런데 개발자 도구의 네트워크 탭에서 확인해보니 요청 헤더에 API 키 값이 그대로 노출되고 있더라고요이 경우, 만약 누군가가 해당 API 키를 알고 있으면 콘솔을 통해 헤더에 키 값을 넣어 직접 API 요청을 보내고, 서버에서 반환되는 JSON 데이터를 볼 수 있는 상황이 될 것 같습니다.현재는 SSL 인증서만 등록되어 있는데, 추가로 어떤 보안 조치를 더 취해야 할지 궁금합니다.혹시 더 안전하게 API 키를 보호할 수 있는 방법이 있을까요?또한 이 외에 웹 개발을 하면서 추가적으로 고려해야 할 보안 요소가 있을까요?

amiwho · Answer

당연한거아닌가요

ahuynahcuy · Answer

ssl이 적용되어 있으면 apikey는 암호화 되어 전달되기 때문에 노출 되기는 힘들어요.그런데 apikey가 아니라 전체 요청을 가로채서 그대로 던지게되면 암호화 하더라도 의미는 없죠.대안으로 토큰을 만들어서 인증하는 방식 같은 걸 고려 해보세요.예를 들면 apikey+timestamp+useragent+IP를 합쳐서 암호화 하고 서버에서 그걸 복호화 해서 useragent와 IP를 확인하고 timestamp가 일정 시간을 초과하면 사용할 수 없는 토큰으로 만드는거죠.

비밀번호변경 · Answer

ㄴㅇㄹㄴㅇㄹ

BearHumanS · Answer

Next를 쓰시면 route handler를 사용하시거나 aws lambda사용하시면 해당 문제 해결 하실 수 있을거 같아요.

ansdbduf · Answer

당연히 개발자도구 네트워크 탭에서는 보이죠. JSESSIONID도 보이는데요 뭘;

wharup · Answer

키 값이 안보이게 할 수는 없습니다.키 값을 서버에서 발급 받아서 수시로 교체하는 식으로 사용하시면 안되나요?

stopoff · Answer

csrf token을 사용하시는 것은 어떨까요?설정이 조금 짜증 납니다만 보안은 확실히 좋을 겁니다..

API 키가 헤더에 노출되는 문제

7개의 답변

#web 목록