피드로 돌아가기
Dev.toSecurity
원문 읽기
상위 1M 사이트 중 CSP 도입률 12% 미만인 보안 공백 해결 전략
HTTP Security Headers: The Complete Guide to Securing Your Website
AI 요약
Context
브라우저의 기본 동작 방식인 MIME-sniffing 및 유연한 스크립트 실행 권한으로 인한 XSS와 Clickjacking 취약점 노출. 서버 응답 헤더 설정을 통한 브라우저 측 보안 메커니즘 활성화 부족으로 인한 시스템 위협 증가.
Technical Solution
- CSP 도입을 통한 허용 리스트 기반 리소스 관리 및 'unsafe-eval' 제거를 통한 XSS 원천 차단
- HSTS 적용으로 HTTPS 강제 연결을 구현하여 Protocol Downgrade 및 SSL Stripping 공격 방어
- X-Frame-Options 및 CSP frame-ancestors 중첩 설정을 통한 Clickjacking 방지 및 하위 호환성 확보
- X-Content-Type-Options: nosniff 설정을 통한 브라우저의 임의 MIME 타입 추론 방지
- Referrer-Policy 및 Permissions-Policy를 통한 민감 정보 유출 방지 및 브라우저 API 접근 제어
- Nginx 'always' 키워드 적용으로 4xx/5xx 에러 페이지에서도 보안 헤더가 유지되는 구조 설계
실천 포인트
- CSP 도입 시 Report-Only 모드로 먼저 배포하여 정적 분석 후 강제 적용 - HSTS 적용 전 모든 서브도메인의 TLS 인증서 유효성 검토 - 인라인 스크립트 제거가 어려울 경우 'unsafe-inline' 대신 Nonce 기반 CSP 적용 - Nginx 설정 시 모든 응답 코드에 헤더가 포함되도록 always 옵션 추가