Spring Security

Spring Security

인증(Authentication)과 인가(Authorization) 를 제공하는데 초점을 맞춘 스프링 프레임워크

• 인증(Authentication) : 해당 사용자가 본인이 맞는지 확인하는 과정
• 인가(Authorization) : 해당 사용자가 요청하는 자원을 실행할 수 있는 권한이 있는가를 확인하는 과정

 

Spring Security 에서는..

Principal을 아이디로, Credential을 비밀번호로 사용하는 Credential 기반의 인증 방식을 사용한다.

=> 개발자 입장에서 일일이 보안 관련 로직을 작성하지 않아도 된다는 장점이 있다.

• Principal(접근 주체) : 보호받는 Resource에 접근하는 대상
• Credential(비밀번호) : Resource에 접근하는 대상의 비밀번호

 

Spring Security는 '인증'과 '권한'에 대한 부분을 Filter 흐름에 따라 처리하고 있다.

• Client (request) → Filter → DispatcherServlet → Interceptor → Controller

 

특징

1) 애플리케이션의 모든 URL에 대한 인증 요구

• 인증, 인가되지 않은 사용자는 Security Filter에서 걸러낸다.

2) 시큐리티 커스터마이징

• 시큐리티 내의 소스를 커스터마이징 할 수 있다.
• LoginSuccessHandler, LoginFailHandler, UserDetailsService 등

3) CSRF 공격, 세션 고정 방지

• CSRF, 세션 고정 등 세션을 활용한 공격들을 방지한다.
• CSRF(Cross Site Request Forgery)
  사용자의 의지와는 무관하게 공격자가 수정, 삭제, 등록 등을 특정 웹사이트에 요청하게 만드는 공격
• 세션 고정(Session Fixation)
  사용자에게 고정된 세션ID가 발급되는 경우, 공격자가 세션ID를 탈취하여 접근 및 권한을 우회하는 공격

4) HTTP 보안 헤더 강화

• HTTP 헤더를 강화하여 XSS, X-Frame-Options 등에 대응한다.
• - HSTS (HTTP Strict Transport Security)
  WEB에 접근할 때, 강제적으로 HTTPS로 접근하도록 한다.
• - XSS(Cross-Site Scripting) 보안
  스크립트가 포함된 URL을 필터링 한다.
• - X-Frame-Options
  X-Frame-Options HTTP 응답 헤더는 해당 페이지를 <frame> 또는<iframe>, <object> 에서 렌더링 할 수 있는지 여부를 나타내는 데 사용된다. 사이트 내 콘텐츠들이 다른 사이트에 포함되지 않도록 하여 clickjacking 공격을 막기 위해 이 헤더를 사용한다. 
  

 

스프링 시큐리티가 요청을 처리하는 방법

 

Spring Security Architecture

• 사용자가 로그인 정보와 함께 인증을 요청한다.
• AuthenticationFilter가 Http 서블릿 리퀘스트에서 사용자가 보낸 정보를 인터셉트한다.
• UsernamePasswordAuthenticationToken의 인증용 객체를 생성한다.
• AuthenticationManager의 구현체인 ProviderManager에게 생성한 UsernamePasswordToken 객체를 전달한다.
• AuthenticationManager는 등록된 AuthenticationProvider을 조회하여 인증을 요구한다.
• 실제 DB에서 사용자 인증정보를 가져오는 UserDetailsService에 사용자 정보를 넘겨준다.
• 넘겨받은 사용자 정보를 통해 DB에서 찾은 사용자 정보인 UserDetails 객체를 만든다.
• AuthenticationProvider는 UserDetails를 넘겨받고 사용자 정보를 비교한다.
• 인증이 완료되면 권한 등의 사용자 정보를 담은 Authentication 객체를 반환한다.
• 다시 최초의 AuthenticationFilter에 Authentication 객체가 반환된다.
•  Authenticaton 객체를 SecurityContext에 저장한다.

주요 모듈

UsernamePasswordAuthenticationToken

User의 ID가 Principal 역할을 하고, Password가 Credential의 역할을 한다.

첫 번째 생성자는 인증 전의 객체를 생성하고, 두번째는 인증이 완료된 객체를 생성한다.

public abstract class AbstractAuthenticationToken implements Authentication, CredentialsContainer {
}
 
public class UsernamePasswordAuthenticationToken extends AbstractAuthenticationToken {
 
	private static final long serialVersionUID = SpringSecurityCoreVersion.SERIAL_VERSION_UID;
 
	// 주로 사용자의 ID에 해당
	private final Object principal;
 
	// 주로 사용자의 PW에 해당
	private Object credentials;
 
	// 인증 완료 전의 객체 생성
	public UsernamePasswordAuthenticationToken(Object principal, Object credentials) {
		super(null);
		this.principal = principal;
		this.credentials = credentials;
		setAuthenticated(false);
	}
 
	// 인증 완료 후의 객체 생성
	public UsernamePasswordAuthenticationToken(Object principal, Object credentials,
			Collection<? extends GrantedAuthority> authorities) {
		super(authorities);
		this.principal = principal;
		this.credentials = credentials;
		super.setAuthenticated(true); // must use super, as we override
	}
}

AuthenticationManager

public interface AuthenticationManager {
 
	Authentication authenticate(Authentication authentication) throws AuthenticationException;
 
}

AuthenticationProvider

public interface AuthenticationProvider {
 
	Authentication authenticate(Authentication authentication) throws AuthenticationException;
 
	boolean supports(Class<?> authentication);
 
}

 

실제 인증에 대한 부분 처리

인증 전의 Authentication 객체를 받아서 인증이 완료된 객체를 반환하는 역할을 한다.

인터페이스를 구현해 Custom한 AuthenticationProvider를 작성하고 AuthenticationManager에 등록하면 된다.

 

ProviderManager

public class ProviderManager implements AuthenticationManager, MessageSourceAware, InitializingBean {
	
    public List<AuthenticationProvider> getProviders() {
		return this.providers;
	}
    
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
		Class<? extends Authentication> toTest = authentication.getClass();
		AuthenticationException lastException = null;
		AuthenticationException parentException = null;
		Authentication result = null;
		Authentication parentResult = null;
		int currentPosition = 0;
		int size = this.providers.size();
        
        // for문으로 모든 provider를 순회하여 처리하고 result가 나올때까지 반복한다.
		for (AuthenticationProvider provider : getProviders()) { ... }
	}
}

 

AuthenticationManager를 implements한 ProviderManager는 AuthenticationProvider를 구성하는 목록을 갖는다.

 

UserDetailsService

public interface UserDetailsService {
 
	UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
 
}

UserDetailsService는 UserDetails 객체를 반환하는 하나의 메소드만을 가지고 있는데, 일반적으로 이를 implements한 클래스에 UserRepository를 주입받아 DB와 연결하여 처리한다.

 

UserDetails

public interface UserDetails extends Serializable {
 
	// 권한 목록
	Collection<? extends GrantedAuthority> getAuthorities();
 
	String getPassword();
 
	String getUsername();
 
	// 계정 만료 여부
	boolean isAccountNonExpired();
 
	// 계정 잠김 여부
	boolean isAccountNonLocked();
 
	// 비밀번호 만료 여부
	boolean isCredentialsNonExpired();
 
	// 사용자 활성화 여부
	boolean isEnabled();
 
}

인증에 성공하여 생성된 UserDetails 객체는 Authentication객체를 구현한 UsernamePasswordAuthenticationToken을 생성하기 위해 사용된다. UserDetails를 implements하여 처리할 수 있다.

 

SecurityContextHolder

SecurityContextHolder는 응용프로그램의 현재 보안 컨텍스트에 대한 세부 정보가 저장된다.

 

SecurityContext

SecurityContextHolder.getContext().setAuthentication(authentication);
SecurityContextHolder.getContext().getAuthentication(authentication);

Authentication을 보관하는 역할을 하며, SecurityContext를 통해 Authentication을 저장하거나 꺼내올 수 있다.

 

 

 

시큐리티의 주요 필터

스프링 시큐리티를 이야기 할 때 "스프링 시큐리티는 스프링 MVC에 종속적이지 않다" 라고 이야기 하는데
이는 스프링 시큐리티가 필터를 중심으로 동작하고, 필터는 스프링에 속한 기술이 아니기 때문에 그러한 것이다.

필터의 가장 큰 역할은 사용자 요청을 검증하고 필요에 따라 데이터를 추가하거나 변조하는 것

 

SecurityContextPersistenceFilter

• SecurityContextRepository를 통해 SecurityContext를 Load/Save 처리

LogoutFilter

• 로그아웃 URL로의 요청을 감시하여 해당 사용자를 로그아웃 시킴

UsernamePasswordAuthenticationFilter

• ID /비밀번호 기반 Form 인증 요청 url을 감시하여 사용자를 인증함

ExceptionTranslationFilter

• 요청을 처리하는 중에 발생할 수 있는 예외를 위임하거나 전달

FilterSecurityInterceptor

• 접근 권한 확인을 위해 요청을 AccessDecisionManager로 위임
  이 필터가 실행되는 시점에는 사용자가 인증됐다고 판단

 

---

SpringSecurity 면접 질문

💡 Spring Security를 적용해보았나요?

💡 Spring Security의 pricipal에는 어떠한 정보들이 담겨있나요?

💡 Spring Security의 어노테이션들을 사용해보았나요?

💡 Spring Security의 UserDetails 객체를 상속하여 커스텀객체를 만들어 보았나요?

💡 Spring Security의 동작과정을 설명하세요.

💡 Spring Security의 필터에 대해 말해보세요.

 

 

 

---