보안 기초 (Java Security)

1. 도입 (왜 배워야 하는가)

정보화 사회에서 보안은 모든 시스템의 근본적인 요소입니다. Java를 사용하는 많은 애플리케이션, 특히 웹 기반 시스템에서 보안은 사용자의 개인정보를 보호하고 데이터의 무결성을 유지하는 데 중요한 역할을 합니다. 만약 보안이 제대로 구현되지 않으면 해커가 시스템에 접근하여 사용자 정보를 탈취하거나, 서비스 중단을 유발하는 등의 피해를 줄 수 있습니다. 특히 금융 거래, 의료 정보 등 민감한 데이터를 다루는 시스템에서는 보안이 더욱 중요합니다.

2. 핵심 개념 설명

2.1 인증(Authentication)

인증은 사용자의 신원을 확인하는 과정입니다. 마치 집에 들어가기 위해 열쇠를 사용하는 것과 같습니다.

2.2 암호화(Encryption)

암호화는 데이터를 읽지 못하도록 변환하는 과정입니다. 일반적인 언어를 암호로 바꾸는 것처럼, 외부에서 데이터를 해독할 수 없도록 보호합니다.

2.3 해시(Hash)

해시는 데이터를 고정된 크기의 문자열로 변환하는 과정입니다. 마치 소금을 뿌린 음식처럼, 해시된 데이터는 원본을 추측할 수 없게 만듭니다.

3. 기본 코드 예제

3.1 SHA-256 해시 생성

SHA-256 해시는 데이터를 안전하게 저장하기 위한 방법입니다.

import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

public class HashExample {
    public static void main(String[] args) {
        String input = "HelloWorld";
        try {
            // SHA-256 해시 알고리즘 객체 생성
            MessageDigest digest = MessageDigest.getInstance("SHA-256");
            // 입력 문자열을 바이트 배열로 변환하고 해시 계산
            byte[] hash = digest.digest(input.getBytes());
            // 결과를 16진수 문자열로 변환
            StringBuilder hexString = new StringBuilder();
            for (byte b : hash) {
                String hex = Integer.toHexString(0xff & b);
                if (hex.length() == 1) hexString.append('0');
                hexString.append(hex);
            }
            // 해시 출력
            System.out.println(hexString.toString()); // 실행 결과 출력
        } catch (NoSuchAlgorithmException e) {
            e.printStackTrace();
        }
    }
}

실행 결과:

7c211e45bb1c44595462186e0b113b0e3a1c1b25d752e9e0d9e8b77d8aa5b4d1

코드 설명:

1. MessageDigest.getInstance("SHA-256")를 통해 SHA-256 해시 알고리즘을 불러옵니다.
2. digest.digest(input.getBytes())로 입력 문자열을 바이트 배열로 변환하여 해시를 계산합니다.
3. 해시된 바이트 배열을 16진수 문자열로 변환합니다.
4. 최종적으로 해시 결과를 출력합니다.

4. 실전 활용 예제

4.1 사용자 비밀번호 저장

쇼핑몰에서 사용자의 비밀번호를 해시하여 저장할 때, 평문으로 저장하면 위험할 수 있습니다. 따라서 해시 함수를 사용하여 비밀번호를 안전하게 저장합니다.

String password = "userPassword123";
String hashedPassword = hashPassword(password); // 위에서 정의한 해시 함수 사용
// hashedPassword를 데이터베이스에 저장

4.2 JWT(Json Web Token) 생성

사용자 인증 후 JWT를 생성하여 클라이언트에 전달합니다. 이를 통해 사용자의 인증 상태를 유지할 수 있습니다.

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

String jwtToken = Jwts.builder()
        .setSubject("[email protected]")
        .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 1일 후 만료
        .signWith(SignatureAlgorithm.HS256, "secretKey") // 비밀 키로 서명
        .compact();
// jwtToken을 클라이언트에 전달

5. 흔한 실수와 주의사항

5.1 비밀번호를 평문으로 저장

잘못된 코드:

String password = "userPassword123";
// 비밀번호를 평문으로 저장
database.save(password);

올바른 코드:

String hashedPassword = hashPassword(password);
// 해시된 비밀번호를 저장
database.save(hashedPassword);

5.2 약한 암호화 알고리즘 사용

SHA-1과 같은 오래된 알고리즘은 취약점이 많습니다. 최신 알고리즘을 사용해야 합니다.

6. 정리

• 보안은 모든 시스템에서 필수 요소입니다.
• 인증, 암호화, 해시와 같은 기본 개념을 이해해야 합니다.
• 사용자 비밀번호는 해시하여 저장해야 안전합니다.
• JWT를 사용하여 인증 상태를 관리할 수 있습니다.

다음에 학습하면 좋은 주제:

• OAuth 2.0을 통한 인증 및 인가
• SSL/TLS를 이용한 데이터 전송 보안
• Java에서의 암호화 라이브러리 활용 방법