*** gs인증서는 타인이 열람 가능한 공개 정보이다.
블록체인 기반 솔루션의 GS인증 획득 프로젝트
신입 입사 후 만 1년 되던 시기에 블록체인 기반 솔루션의 관리자 페이지에 대한 GS인증 획득 업무를 전담하게 되었다.
웹앱의 경우 크게는 아래의 세 항목에 대해서 중점적으로 대비해야 했다.
애플리케이션의 기능이 설계에 부합하는지
애플리케이션의 보안성이 기관의 기준에 부합하는지
애플리케이션이 성능이 기관의 기준에 부합하는지
OWASP 기준에 맞춰 백엔드 엔드포인트와 프론트엔드를 전부 점검하고 수정했다. SQL인젝션과 크로스사이트스크립팅을 중점적으로 대비했는데, 프론트에서 폼 등에 입력되는 요소들도 처리해야 해서 쉽지 않은 과제였다. 이 프로젝트 전까지는 자바스크립트를 다뤄본 경험이 많지 않았기 때문이다. 또한 당시에는 지금처럼 AI를 활용할 수도 없어 지식습득-테스트-결과-테스트-결과의 반복적인 과정을 통해 문제를 해결해야 했다.
가장 큰 어려움은 침투 테스트 진행이었다. 오픈소스 툴로 시도해보았지만, 툴을 제대로 활용하기 위한 전문 지식이 부족해 결과를 신뢰하기 어려웠다. 침투 테스트 전문 업체에 문의했으나 비용 부담이 컸다. 고민 끝에 시험 기관에 이러한 애로사항을 설명했고, 다행히 무료로 침투 테스트를 지원받을 수 있었다. 이런 노력 끝에 목표 일정보다 약간 지연되었지만 GS인증을 성공적으로 획득할 수 있었다. 이 성과를 인정받아 대표님께서 개별적으로 식사를 대접해주신 것이 특히 기억에 남는다.
이 프로젝트를 통해 웹 보안이 웹 개발과는 별도의 전문성을 요하는 분야임을 깊이 깨달았다. 물론 개발 과정에서 따라야 할 일반적인 보안 지침은 오래전부터 존재하며 많은 기업에서 개발자들이 보안 처리를 담당하고 있다. 그러나 침투 방식은 계속해서 진화하고 있고, 그에 맞춰 방어 기법도 발전해야 하는데, 이를 개발자들이 주기적으로 따라가기는 현실적으로 쉽지 않다.
