보안
피닝과 키 로테이션
앱이 서버 공개키를 피닝하고 있는데, 보안 정책상 서버 인증서와 키가 주기적으로 교체됩니다. 교체 직후 옛 버전 앱 사용자들이 전부 접속 불가가 되는 사고를 막으려면 클라이언트는 새 공개키를 어떻게 알게 하나요?
면접관은 이 답을 어떻게 들을까요? 넘어갈지, 더 물어볼지, 떨어뜨릴지 알려 주고, 걸리는 문장은 콕 집어 줘요. 점수는 그대로예요.
짧은 답 보기
리프 인증서가 아니라 SPKI(공개키) 해시를 피닝하고, 현재 키와 미리 만들어 둔 백업 키 여러 개를 함께 핀에 넣어 두면 서버가 백업 키로 갈아타도 옛 앱은 이미 그 키를 안다.
이어서 보기
보안주관식심화
인증서 피닝(SSL pinning)을 iOS에서 어떻게 구현하나요?
#certificate #public-key
보안객관식기초
Charles·Proxyman 같은 도구로 앱의 HTTPS 요청 본문을 평문으로 볼 수 있으려면 어떤 조건이 필요한가요? 해당하는 것을 모두 고르세요.
#pinning #certificate
보안객관식기초
리프 인증서의 SHA-256 해시를 앱에 하드코딩해 피닝한 앱이 있습니다. 서버가 인증서를 갱신했을 때 가장 먼저 일어나는 일은?
#rotation
보안주관식딥다이브
QA가 "Charles 프록시를 걸었더니 우리 앱 API 요청과 응답이 전부 평문으로 보인다"고 보고했습니다. 이것이 실제 보안 문제인지 판단하는 기준은…
#pinning