보안
세션 토큰 탈취와 위장
로그인 후 서버가 준 토큰을 모든 요청의 헤더에 실어 보냅니다. 면접관이 "그 토큰은 언제 만들어지고 언제 만료되는지" 묻습니다. 어떻게 답하겠습니까?
면접관은 이 답을 어떻게 들을까요? 넘어갈지, 더 물어볼지, 떨어뜨릴지 알려 주고, 걸리는 문장은 콕 집어 줘요. 점수는 그대로예요.
짧은 답 보기
토큰은 로그인 성공 시 서버가 발급하고 짧은 수명(액세스 수분~1시간)과 긴 리프레시로 나누며, 만료는 서버가 판정하고 클라이언트는 401이나 만료 시각을 보고 갱신한다.
이어서 보기
보안주관식심화
금융 앱에서 보안 요구사항과 사용자 편의성이 충돌할 때 어떤 기준으로 결정하겠습니까? 예: 세션 유지 시간, 재인증 빈도, 화면 캡처 차단.
#session
보안주관식딥다이브
봇이 우리 API를 직접 호출해 쿠폰을 쓸어갑니다. 서버가 '진짜 App Store에서 설치된 우리 앱'의 요청만 받으려면 App Attest를 어떻게…
#app-attest
보안주관식심화
한 회사의 앱 여러 개(메인 앱, 결제 앱, 클라우드 앱)가 한 번 로그인하면 서로 로그인 상태를 공유해야 합니다. iOS에서 이걸 어떻게 구현하나요?
#session
보안주관식심화
앱과 서버 사이의 통신 프로토콜을 직접 설계한다면, 전송 중에 내용이 바뀌었다는 것을 서버가 어떻게 알아챌 수 있게 하겠습니까? HTTPS를 이미 쓰고 있다는…
#replay