서비스 연결 통로 노리는 공격… ‘API 보안’ 왜 중요해졌나 [보안TMI] 작성일 08-30 22 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">운영 API 파악하고 접근권한·전송정보 지속 점검해야</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="5JemlWQ9Lu"> <p contents-hash="9b4159b674ad2f8007f36e81abc059e7c09d50d9976df5dab2790c5037c38116" dmcf-pid="1mwZ0zcnMU" dmcf-ptype="general">IT조선은 독자들이 이해하기 어려웠던 보안 용어와 개념을 보다 쉽게 풀어 설명하는 '보안TMI(Too Much Information)' 코너를 마련했습니다. 매주 주제를 선정해 개념은 물론 기사에 담지 못했던 배경과 맥락까지 짚어드립니다. 독자들이 보안 관련 뉴스를 보다 명확하게 이해할 수 있도록 돕겠습니다. [편집자 주]</p> <div contents-hash="d79cb5c34fa9cb2281a77614259c6771fd1314830f452719402fb083766f7c1d" dmcf-pid="tsr5pqkLip" dmcf-ptype="general"> 최근 API(애플리케이션 프로그래밍 인터페이스)를 통한 개인정보 유출과 보안 사고가 잇따르고 있다. 지난 6월 중소벤처기업부 '모두의 창업' 프로젝트에서 비정상적인 API 호출을 통해 참여자의 이메일 주소 등 개인정보가 수집된 사고가 대표적이다. 이 사건은 공격자가 시스템 자체를 침해하지 않고도 서비스가 제공하는 API의 허점을 이용해 정보에 접근할 수 있다는 점에서 API 보안의 중요성을 보여준다. </div> <figure class="figure_frm origin_fig" contents-hash="efc6844def3cebeb0b5412ce8b69496cec8f29a0602e8f67d8b5c663ec4a6ab8" data-idxno="451243" data-type="photo" dmcf-pid="FOm1UBEoM0" dmcf-ptype="figure"> <p class="link_figure"><img alt="API 보안을 형상화한 이미지 / 챗GPT 제작" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/30/552810-SDi8XcZ/20260830060016499ivtt.png" data-org-width="1280" dmcf-mid="ZDcY1paeM7" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/30/552810-SDi8XcZ/20260830060016499ivtt.png" width="658"></p> <figcaption class="txt_caption default_figure"> API 보안을 형상화한 이미지 / 챗GPT 제작 </figcaption> </figure> <p contents-hash="1e59d4a7f08d45cb5a8cfbd2ef77048ea67af04d6c5399571f086789d66cf9e8" dmcf-pid="3IstubDgd3" dmcf-ptype="general">API는 서로 다른 프로그램이나 서비스가 정해진 규칙에 따라 데이터와 기능을 주고받도록 만든 연결 통로다. 시스템마다 구조와 작동 방식이 달라도 API로 정해둔 규칙을 이용하면 필요한 기능이나 정보를 빠르고 간편하게 요청하고 받을 수 있다. 쇼핑 앱은 API를 통해 주문관리 시스템에서 주문내역을 받아오고, 금융 앱은 은행의 계좌 시스템과 연결해 잔액이나 거래내역을 불러오는 식이다. 웹·모바일 서비스뿐 아니라 클라우드, 서비스형 소프트웨어(SaaS), 마이크로서비스, 인공지능(AI) 등에서도 API가 폭넓게 사용된다.</p> <p contents-hash="7c44045f78692ba991703dc55d8004b43dc5350b2b430d032b77059b001cf53e" dmcf-pid="0COF7KwaRF" dmcf-ptype="general">공격자는 이런 API 자체를 공격 통로로 이용할 수 있다. 외부에서 호출할 수 있는 API의 주소와 요청 방식을 파악한 뒤 요청값을 조작하거나 반복해서 호출하는 식이다. 대표적인 문제가 '객체 수준 인가 취약점(Broken Object Level Authorization·BOLA)'이다. 공격자가 정상 계정으로 로그인한 뒤 API 요청에 담긴 회원번호나 주문번호 같은 식별값을 다른 값으로 바꿔 요청했을 때 다른 이용자의 정보까지 반환되는 경우다. 서버가 로그인 여부만 확인하고 해당 정보에 접근할 권한까지 제대로 검사하지 않아 발생한다.</p> <p contents-hash="b142be8ac7395dbe91efb1aed09060f75510c0f8b6291cd61e2596458a182e38" dmcf-pid="phI3z9rNRt" dmcf-ptype="general">API가 필요 이상의 정보를 보내는 것도 사고로 이어질 수 있다. 2021년 쿠팡이츠에서는 음식점 측 시스템에 정보를 전달하는 API에 배달원의 안심번호뿐 아니라 실명과 휴대전화번호까지 포함돼 있었다. 이 때문에 약 13만5000명의 정보가 외부 주문관리 시스템에 전달·보관됐다. 공격이 없더라도 API가 업무에 필요한 범위를 넘어 정보를 보내도록 설계돼 있다면 보안 문제가 발생할 수 있다.</p> <p contents-hash="63d2d398c8c64185f4217fae963d49059fdd0bbe1331c6f73bfa90f3682e51dd" dmcf-pid="UlC0q2mjR1" dmcf-ptype="general">기업이 운영 중인 API를 제대로 파악하지 못할 때도 문제가 생긴다. 개발 과정에서 만들어졌지만 관리되지 않는 '섀도 API'나 서비스 개편 이후에도 남아 있는 '좀비 API'가 대표적이다. 현재 사용하는 API에 인증과 접근통제를 강화했더라도 과거 API가 계속 외부에서 호출 가능하면 공격자가 이를 우회 통로로 이용할 수 있다. 기업이 운영하는 API를 지속해서 파악하고 관리해야 하는 이유다.</p> <p contents-hash="7da63110a0e1e554514ea2c2316b20148d541dc950f8a31923df1bf076628cb6" dmcf-pid="uShpBVsAn5" dmcf-ptype="general">API 보안 솔루션은 기업이 운영하는 API를 찾아 목록화하고 어떤 데이터가 오가는지 파악하는 데 활용된다. 인증·인가 적용 여부와 민감정보 노출, 비정상적인 대량 호출이나 반복 요청 등을 확인하고 섀도 API나 좀비 API를 찾아내는 기능도 제공한다. 서비스 공개 전에 API 취약점을 점검하거나 운영 과정에서 평소와 다른 호출 패턴을 탐지하는 제품도 있다. 다만 특정 이용자가 어떤 데이터에 접근할 수 있는지를 판단하는 업무 로직 자체에 문제가 있다면 애플리케이션 개발 단계에서 수정해야 한다.</p> <p contents-hash="176d38fda585aa29a18f6ad95eb23741c52f3178485dffd10da06a969fbd36f6" dmcf-pid="7vlUbfOcLZ" dmcf-ptype="general">API 사용이 늘면서 보안업계도 관련 기능을 강화하고 있다. 아카마이는 API 보안 전문기업 노네임시큐리티를 인수해 API 발견부터 개발 단계 보안 테스트, 운영 중 이상행위 탐지까지 관련 기능을 확대했다. 국내에서도 모니터랩과 펜타시큐리티 등이 기존 웹 애플리케이션 방화벽(WAF)에 API 보안을 결합한 웹 애플리케이션·API 보호(WAAP) 제품군을 제공하고 있다. 웹 애플리케이션과 API를 함께 보호하려는 제품군이 늘어나는 추세다.</p> <p contents-hash="63559d5ed5ecc5121251a12ea37addad56cfdbe99f27bb004cd24eb0ed348b66" dmcf-pid="zt5fxJGhnX" dmcf-ptype="general">API 보안은 개발부터 운영까지 지속적인 관리가 필요하다. API가 이용자별 접근권한을 제대로 확인하는지, 서비스에 필요한 정보만 전달하는지, 더 이상 사용하지 않는 API와 인증키가 남아 있지는 않은지 계속 점검해야 한다. 서비스와 시스템을 연결하는 API가 늘어날수록 관리 대상도 함께 늘어나는 만큼, 기업은 운영 중인 API와 각각의 접근권한을 정확히 파악할 필요가 있다.</p> <p contents-hash="731c1be47322aed616541149bd795941b5aeb8cc1e94b65eeb9dcff9b75e5253" dmcf-pid="qF14MiHlnH" dmcf-ptype="general">정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 갤S27 울트라·프로, 세로 카메라 버린다…‘아이폰 닮은꼴’ 되나 08-30 다음 통제망 뚫은 AI·인프라 노리는 中 해커…사이버안보 전방위 '비상' 08-30 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
