BOLA 및 JWT 취약점 해결을 통한 API 보안 아키텍처 강화

Context

인증(Authentication)과 인가(Authorization)의 혼동으로 인한 BOLA 취약점이 지속적으로 발생함. 특히 JWT 알고리즘 설정 오류와 리소스 소비 제한 부재로 인한 시스템 가용성 저하 및 데이터 유출 위험이 상존하는 구조임.

Technical Solution

• 단순 인증을 넘어 객체 소유권을 명시적으로 검증하는 쿼리 필터링 구조 도입
• JWT 검증 시 알고리즘 Allowlist를 강제하여 Algorithm Confusion 공격 차단
• 'none' 알고리즘의 명시적 거부를 통한 토큰 위조 가능성 제거
• Pagination 및 Query Limit 설정을 통한 DB Full Table Scan 및 리소스 고갈 방지
• Parameterized Query 적용으로 SQL Injection 가능성을 원천 차단하는 데이터 접근 계층 설계
• Field Allowlist 기반의 데이터 바인딩을 통한 Mass Assignment 공격 방어

Impact

• 제한 없는 검색 쿼리로 인한 분당 $200의 비용 발생 가능성을 Pagination 도입으로 제거
• BOLA 취약점 해결을 통한 50,000건 이상의 고객 레코드 무단 추출 경로 차단