1.9 보안기능 입력값 검증

① 사용자의 역할, 권한을 결정하는 정보는 서버에서 관리

② 외부 입력값(쿠키, 환경변수, 파라미터 등)이 보안기능을 수행하는 함수의 인자로 사용되는 경우, 입력값에 대한 검증작업을 수행한 뒤 제한적으로 사용

③ 중요상태정보나 인증, 권한결정에 사용되는 정보는 쿠키로 전송 제한,  불가피하게 전송 시 해당 정보를 암호화해서 전송

① 상태정보나 인증, 인가, 권한에 관련된 중요정보는 서버 측의 세션이나 DB에 저장 사용

② 보안기능을 수행하는 함수 설계 시, 외부의 입력값에 의존할 필요가 없는 구조를 가지도록 설계

• 만약 외부입력값(쿠키, 환경변수, 파라미터 등)을 받아서 수행 시, 입력값에 대한 검증작업을 수행한 뒤 제한적으로 사용해야 한다.

• 입력값에 대한 검증작업은 클라이언트 측과 서버에서 수행하는 검증방식이 동일해야 함

• 외부에서 입력된 값에 대해서는 사용 전에 NULL 여부를 체크한 뒤 사용

③ 중요정보가 포함되는 쿠키는 암호화하여 전송하거나 HMAC과 같은 메시지인증코드를 이용하여 서버 측에서 무결성을 검증.