레스트풀 자바 애플리케이션의 보안 취약점과 방어 기술

[RESTful 자바 웹 서비스 보안]은 자바 개발자가 RESTful 웹 서비스를 구축할 때 간과하기 쉬운 보안 취약점에 대해 보안 관리의 기초적인 내용부터 차근차근 소개하면서, 매우 상세하고 실전적인 예제 코드를 통해 HTTPS, 인증서, OAuth 등의 기술을 이해할 수 있도록 안내한다. 책에서는 개발 및 테스트 환경 구축과 필요에 따른 사용자 정의, RESTful 애플리케이션 보안 관리에 필요한 개념과 중요성 이해, 다양한 기법으로 수행하는 RESTful 웹 서비스 구현과 테스트, 결과 분석, 보안 프로토콜 설정과 적용 방법, RESTful 애플리케이션에 OAuth나 SSO 등의 기술 구현과 통합, JEE 애플리케이션과 컨테이너에서의 보안 개념 이해, 예제 코드에 디지털 서명과 메시지 암호화 기술 적용 등을 다루고 있다.

1장 개발 환경 세팅
__툴 내려받기
____다운로드 링크
__베이스 프로젝트 만들기
__첫 번째 기능 예제
____예제 웹 서비스 테스팅
__정리

2장 웹 서비스 보안의 중요성
__보안의 중요성
__보안 관리 옵션
____인증과 인가
________인증
________인가
____접근 통제
________전송 계층 보안
____유저 크리덴셜에 의한 기본 인증
____다이제스트 인증
________An example with explanation
____인증서 인증
__API 키
__정리

3장 RESTEasy 보안 관리
__대단위/소단위 보안
____HTTP 메소드 보안
________HTTP 메소드: POST
________HTTP 메소드: GET
____애노테이션을 이용한 소단위 보안 구현
________@RolesAllowed 애노테이션
________@DenyAll 애노테이션
________@PermitAll 애노테이션
____프로그래밍으로 구현하는 소단위 보안
__정리

4장 RESTEasy 스켈레톤 키
__OAuth 프로토콜
__OAuth와 RESTEasy 스켈레톤 키
____RESTEasy 스켈레톤 키란
____OAuth 2.0 인증 프레임워크
________주요 기능
____OAuth 2 구현
________JBoss에서 RESTEasy 모듈 업데이트
________JBoss 설정 파일 셋업
________OAuth 클라이언트 구현
____보안 관리를 위한 SSO 설정
____기본 인증 방식의 OAuth 토큰
________애플리케이션 실행
____커스텀 필터
________서버 측 필터
________클라이언트 측 필터
________필터의 사용 예
__정리

5장 디지털 서명과 메시지 암호화
__디지털 서명
____RESTEasy JAR 파일 업데이트
____디지털 서명 적용
____기능 테스트
____애노테이션을 이용한 디지털 서명 검증
__메시지 본문 암호화
____기능 테스트
____HTTPS 적용
________기능 테스트
__정리

★ 요약 ★이 책은 자바 개발자가 RESTful 웹 서비스를 구축할 때 간과하기 쉬운 보안 취약점에 대해 보안 관리의 기초적인 내용부터 차근차근 소개하면서, 매우 상세하고 실전적인 예제 코드를 통해 HTTPS, 인증서, OAuth 등의 기술을 이해할 수 있도록 안내한다. 작은 분량의 책에 디지털 서명과 메시지 암호화에 대한 내용까지 아주 컴팩트하게 담아냈다.★ 이 책에서 다루는 내용 ★■ 개발 및 테스트 환경 구축과 필요에 따른 사용자 정의
■ RESTful 애플리케이션 보안 관리에 필요한 개념과 중요성 이해
■ 다양한 기법으로 수행하는 RESTful 웹 서비스 구현과 테스트, 결과 분석
■ 보안 프로토콜 설정과 적용 방법
■ RESTful 애플리케이션에 OAuth나 SSO 등의 기술 구현과 통합
■ JEE 애플리케이션과 컨테이너에서의 보안 개념 이해
■ 예제 코드에 디지털 서명과 메시지 암호화 기술 적용★ 이 책의 대상 독자 ★RESTful 기반의 웹 서비스 관련 업무에 종사하고 있는 웹 애플리케이션 개발자를 위한 책이다. 필수는 아니지만 RESTful 아키텍처에 대해 잘 알고 있으면 책을 읽는데 도움이 된다.★ 이 책의 구성 ★1장, ‘개발 환경 세팅’에서 다루는 내용은 기본적으로 Hello World 같은 기초적인 예제이지만 실제 상황과 유사한 몇몇 기능이 추가되었다. 이후 사용할 도구를 길들이는 게 1장의 목표다.2장, ‘웹 서비스 보안의 중요성’에서는 자바 플랫폼에서 제공하는 인증 모델을 알아보고 각각의 작동 원리를 단계별로 차근차근 뜯어볼 것이다. 와이어샤크(Wireshark)라는 트래픽 분석기로, 노출된 정보를 타인이 가로챌 수 있는 상황을 다룬다.3장, ‘RESTEasy 보안 관리’에서는 RESTEasy 보안 메커니즘을 기본 모델(대단위coarse-grained)과 정교한 모델(소단위fine-grained)로 나누어 설명한다. 그리고 설정 파일 뿐 아니라 직접 코딩하여 보안을 적용하는 방법을 살펴본다.4장, ‘RESTEasy 스켈레톤 키’에서는 토큰 소지자(token bearer), 싱글 사인 온(Single Sign-On), OAuth 인증을 다룬다. 세 가지 모두 자원 공유의 경로를 제한하기 위해 사용하는데, 곧바로 실무에 적용할 만한 실전적인 예제 코드를 살펴본다. 이러한 기법들을 동원하여 애플리케이션 간 자원/정보 공유를 하면, 토큰 소지자 말고 외부인 접근을 효과적으로 차단하는 동시에 유저가 자신의 크리덴셜(credential)로 처음 한 번만 인증하면 다른 서비스도 함께 이용할 수 있다. 안전하면서도 유연한 애플리케이션을 만들기 위해 이 세 기술을 어떻게 적용하는지 알아본다.5장, ‘디지털 서명과 메시지 암호화’에서는 디지털 서명의 유용함을 이해하고, 간단한 예제를 통해 메시지 수신자가 송신자의 신원을 어떻게 검증하는지 배운다. 데이터를 송수신하는 과정에서 만약 누군가가 데이터를 변조했을 때 디지털 서명으로 이를 감지하여 잘못된 데이터를 전달받는 일이 없도록 모의 실험을 할 것이다.끝으로, 서버 요청 및 응답 전체를 암호화하는 것과 S/MIME으로 메시지 본문만을 암호화하는 것, 두 가지를 비교해 살펴보며 마무리할 것이다★ 저자 서문 ★웹 서비스 도입에는 언제나 보안이라는 문제가 대두된다. 오늘날 어떤 회사도 완벽하게 고립된 시스템으로 외부와의 정보 공유를 단절한 채 일한다는 건 불가능하지만, 회사 입장에서 정보는 가장 중요한 자산이기도 하다. 개발자는 이러한 상반된 요구를 코딩 시 반영할 수 있어야 한다. 이 책은 여러분이 실제 업무 현장에서 일반적으로 맞닥뜨리게 될 문제의 해법을 직접 손으로 타이핑해가며 깨우칠 수 있게 안내한다.과거 SOAP 기반의 웹 서비스는 쓰기 불편한 점들이 많았다. 예를 들어, 프로그래밍 언어와 라이브러리에 의존적인 데이터 타입을 다룰 때, NULL 대신 공백 문자(“”)를 사용하면 예상치 못한 결과가 나왔다. 또 웹 서비스를 제작하고 이용하는 양측에서 사용하는 라이브러리 버전이 다를 경우, 파일 전송 시 복잡한 객체를 일일이 매핑해야 했고 간혹 골치 아픈 호환성 이슈가 발생하기도 했다. 심지어 자바 언어로 구현된 웹 서비스를 .NET 애플리케이션이 접속하는 경우, 부득이 둘 사이의 어떤 서비스를 자바로 추가 구현해야 할 일도 있었다. 그러나 RESTful 웹 서비스에선 HTTP 메소드 호출로 모든 기능을 이용할 수 있으니 그럴 일이 없다.그간 보안 업계 전문가들은 정보 보호에 도움이 될 만한, 여러 가지 재미있는 장치들을 고안했다. 여러분은 인증(authentication)과 인가(authorization)의 개념을 이해하고 보안에 문제가 없는 애플리케이션을 구현할 수 있도록 그들이 고안한 장치들을 익히고 실무에 적용할 줄 알아야 한다. 어떤 방법을 택할지는 각자가 처한 상황이나 해결해야 할 문제의 성격에 따라 다르며, 본문에서 시나리오별로 상세한 실례를 다룰 것이다.나는 지금까지 대기업 프로젝트 현장에서, 이미 과거에 누군가가 해결하여 표준화시킨 방법이 있음에도 혼자 골치 아픈 보안 문제를 해결하고자 무던히 애만 쓰고 시간을 축내는 사람들을 봐왔다. 이제 이 책으로 지식과 노하우를 공유하고자 하니 부디 독자 여러분은 처음부터 다시 바퀴를 발명하고자 인생을 허비하지 않길 바란다.★ 옮긴이의 말 ★최근 잇따른 개인 정보 유출 사고로 인해 사회적으로 보안에 대한 관심이 전례 없이 높아졌습니다. 이를 바꿔 말하면, 이제 더 이상 대기업이나 공공 기관의 애플리케이션 개발자들도 보안에 무지해서는 안 되고, 앞으로 보안을 고려하지 않은 프로그래밍은 있을 수 없다는 것입니다. 그렇지 않아도 빡빡한 개발 일정에, 업무 요구 사항은 수시로 바뀌고 고객은 시스템 성능 문제를 제기하는 마당에, 이제는 보안까지 신경 써야 하느냐고 볼멘소리를 하실 분도 계시겠지만, 개발자라는 직업을 가진 사람에게 그야말로 배움의 끝은 존재하지 않는 것 같습니다.이 책은 실제 현장에서 리더급 프로그래머가 직접 코드를 보여주며 교육을 시키는 것처럼 친절하게 웹 서비스 보안에 관한 코드를 소개하고 있습니다. 특히, 이 책이 모태로 삼은 RESTEasy 프로젝트의 매뉴얼과 예제 코드를 내려받아 시간을 갖고 분석하다 보면 JAX-RS나 보안 이외에도 현장에서 바로 쓸 수 있는 다양한 지식과 기술을 습득하게 될 것입니다. 비록 이 책이 웹 서비스 보안에 대한 모든 내용을 다루지는 않지만, 독자 여러분으로 하여금 새로운 분야에 대한 관심을 갖게 해, 한 단계 업그레이드된 자바 개발자가 될 수 있게 도와주리라 믿습니다.

회원리뷰 총 0개

리뷰작성 새 창

사용후기가 없습니다.

등록된 상품문의

상품문의 총 0개

문의작성 새 창

상품문의가 없습니다.

[반품/교환가능 기간]

변심반품의 경우 수령 후 14일 이내, 상품의 결함 및 계약내용과 다를 경우 문제점 발견 후 30일 이내

[반품/교환비용]

단순 변심 혹은 구매착오로 인한 반품/교환은 반송료 고객 부담

[반품/교환 불가 사유]

- 소비자의 책임 있는 사유로 상품 등이 손실 또는 훼손된 경우

(단지 확인을 위한 포장 훼손은 제외)

- 소비자의 사용, 포장 개봉에 의해 상품 등의 가치가 현저히 감소한 경우

예) 화장품, 식품, 가전제품(악세서리 포함) 등

- 복제가 가능한 상품 등의 포장을 훼손한 경우

예) 음반/DVD/비디오, 소프트웨어, 만화책, 잡지, 영상 화보집

- 소비자의 요청에 따라 개별적으로 주문 제작되는 상품의 경우 ((1)해외주문도서)

- 디지털 컨텐츠인 eBook, 오디오북 등을 1회 이상 다운로드를 받았을 경우

- 시간의 경과에 의해 재판매가 곤란한 정도로 가치가 현저히 감소한 경우

- 전자상거래 등에서의 소비자보호에 관한 법률이 정하는 소비자 청약철회 제한 내용에 해당되는 경우

* (1) 해외주문도서 : 이용자의 요청에 의한 개인주문상품으로 단순변심 및 착오로 인한 취소/교환/반품 시

‘해외주문 반품/취소 수수료’ 고객 부담 (해외주문 반품/취소 수수료 : ①양서-판매정가의 12%, ②일서-판매정가의 7%를 적용)

[상품 품절]

공급사(출판사) 재고 사정에 의해 품절/지연될 수 있으며, 품절 시 관련 사항에 대해서는 이메일과 문자로 안내드리겠습니다.

[소비자 피해보상, 환불지연에 따른 배상]

- 상품의 불량에 의한 교환, A/S, 환불, 품질보증 및 피해보상 등에 관한 사항은 소비자분쟁해결 기준 (공정거래위원회 고시)에 준하여 처리됩니다.

- 대금 환불 및 환불지연에 따른 배상금 지급 조건, 절차 등은 전자상거래 등에서의 소비자 보호에 관한 법률에 따라 처리함.