HMAC-SHA256 도입을 통한 Webhook Spoofing 완벽 차단

Context

외부 서비스의 Webhook을 처리하는 공개 엔드포인트의 보안 취약점 분석. 단순 HTTP POST 요청에 의존하는 구조로 인해 악의적인 Payload 조작을 통한 권한 획득 및 부정 결제 처리 위험 상존.

Technical Solution

• Zero-trust API 설계를 위한 HMAC-SHA256 기반 Signature Verification 체계 도입
• Business Controller 진입 전 요청을 검증하는 Middleware 계층의 Guard 구조 설계
• Raw Request Body와 공유 Secret Key를 조합한 독립적 해시 생성 및 비교 로직 구현
• Timing Attack 방지를 위해 단순 비교 연산자가 아닌 hash_equals() 함수를 사용한 상수 시간 비교 적용
• 유효하지 않은 시그니처 탐지 시 즉각적인 401/403 응답 반환 및 IP 기반 로그 기록 체계 구축