콘텐츠 보안 정책 (CSP)이란 무엇인가요?

콘텐츠 보안 정책은 웹페이지에서 로드할 수 있는 리소스를 브라우저에 알려주는 HTTP 응답 헤더입니다. 스크립트, 스타일, 이미지 및 기타 리소스의 소스를 제한하여 크로스 사이트 스크립팅(XSS), 클릭재킹 및 기타 코드 주입 공격을 방지합니다. CSP가 없으면 브라우저는 공격자가 주입한 악성 스크립트를 포함하여 페이지에 참조된 모든 리소스를 로드합니다.

보고 전용 모드와 강제 모드의 차이점은 무엇인가요?

Content-Security-Policy-Report-Only는 위반 보고서를 보내지만 리소스를 차단하지 않으므로 보안 테스트에 적합합니다. Content-Security-Policy는 정책을 강제하고 위반을 차단합니다. 항상 보고 전용 모드에서 시작하여 페이지에 필요한 모든 합법적인 리소스를 식별한 다음 강제 모드로 전환하세요.

아닙니다. CSP는 심층 방어 계층으로, 입력 유효성 검사와 출력 인코딩을 대체할 수 없습니다. 여전히 모든 사용자 입력을 정리하고, 출력을 이스케이프하며, 안전한 코딩 관행을 따라야 합니다. CSP는 XSS 취약점이 발견될 때 피해를 제한하는 추가 안전망을 제공하지만, 유일한 방어선이 되어서는 안 됩니다.

아닙니다. CSP는 심층 방어 계층으로, 입력 유효성 검사와 출력 인코딩을 대체할 수 없습니다. 여전히 모든 사용자 입력을 정리하고, 출력을 이스케이프하며, 안전한 코딩 관행을 따라야 합니다. CSP는 XSS 취약점이 발견될 때 피해를 제한하는 추가 안전망을 제공하지만, 유일한 방어선이 되어서는 안 됩니다.

강제 적용 전에 CSP를 테스트하는 방법은?

Content-Security-Policy-Report-Only를 사용하여 웹사이트를 손상시키지 않고 정책을 테스트하세요. 위반 보고서를 수집할 report-uri 엔드포인트를 구성하세요. 모든 합법적인 리소스를 식별하기 위해 충분히 긴 기간(수일 또는 수주) 동안 보고서를 모니터링하세요. 정책에 필요한 소스를 추가하여 위반을 수정하세요. 합법적인 위반이 더 이상 발생하지 않으면 강제 적용 헤더로 전환하세요.

CSP가 내 웹사이트를 손상시킬 수 있나요?

네, 잘못 구성된 CSP는 합법적인 리소스를 차단하여 기능 손상, 이미지 누락, API 호출 실패 및 스크립트 미작동을 초래할 수 있습니다. 그렇기 때문에 항상 보고 전용 모드로 먼저 테스트한 다음 점진적으로 정책을 강화해야 합니다. 'unsafe-inline' 또는 'unsafe-eval'을 사용하면 보호가 약화되지만, 레거시 애플리케이션에는 필요할 수 있습니다.

콘텐츠 보안 정책 (CSP) 가이드: 웹사이트 보호하기

크로스 사이트 스크립팅(XSS)은 여전히 가장 널리 퍼진 웹 취약점 중 하나로, OWASP Top 10에 지속적으로 포함되어 있습니다. 수십 년간의 보안 인식에도 불구하고, XSS 공격은 입력 유효성 검사와 출력 인코딩과 같은 전통적인 방어 수단이 완벽하지 않기 때문에 계속해서 웹사이트를 위협하고 있습니다. 콘텐츠 보안 정책(CSP)은 브라우저에 페이지에서 로드 및 실행이 허용되는 리소스를 알려줌으로써 강력한 추가 방어 계층을 제공합니다. 올바르게 구성하면 CSP는 승인되지 않은 스크립트 실행을 차단하여 XSS 공격을 완전히 무력화할 수 있습니다. 이 가이드는 지시문 이해부터 프로덕션 준비 정책 구축 및 배포까지 모든 내용을 다룹니다.

콘텐츠 보안 정책이란 무엇인가요?

콘텐츠 보안 정책은 HTTP 응답 헤더(또는 meta 태그)로, 웹사이트 운영자가 브라우저가 로드할 수 있는 승인된 콘텐츠 소스를 선언할 수 있게 합니다. 이는 화이트리스트로 작동합니다: 정책에 의해 명시적으로 허용되지 않은 모든 리소스는 차단됩니다. 이 메커니즘은 공격자가 애플리케이션에 HTML을 삽입할 방법을 찾았더라도 페이지에 악성 스크립트, 스타일 또는 기타 리소스를 주입하는 것을 방지합니다.