보안
App Attest
봇이 우리 API를 직접 호출해 쿠폰을 쓸어갑니다. 서버가 '진짜 App Store에서 설치된 우리 앱'의 요청만 받으려면 App Attest를 어떻게 활용하나요?
면접관은 이 답을 어떻게 들을까요? 넘어갈지, 더 물어볼지, 떨어뜨릴지 알려 주고, 걸리는 문장은 콕 집어 줘요. 점수는 그대로예요.
짧은 답 보기
Secure Enclave 키를 만들어 Apple이 서명한 증명(attestation)을 서버가 검증해 공개키를 등록하고, 이후 고위험 요청마다 그 키로 assertion 서명을 붙여 서버가 검증한다.
이어서 보기
보안객관식심화
CryptoKit 의 SecureEnclave.P256.Signing.PrivateKey로 만든 키에 대한 설명으로 옳은 것을 모두 고르세요.
#secure-enclave
보안주관식심화
로그인 후 서버가 준 토큰을 모든 요청의 헤더에 실어 보냅니다. 면접관이 "그 토큰은 언제 만들어지고 언제 만료되는지" 묻습니다. 어떻게 답하겠습니까?
#app-attest
보안주관식심화
카드번호·비밀번호·PIN 같은 값이 입력·처리된 뒤에도 프로세스 메모리에 남아 있어, 메모리 덤프나 크래시 로그로 새어 나갈 수 있다는 지적을 보안 진단에서…
#secure-enclave