‘보안’ 태그의 글
15편 RSS로 구독
15편
TLS 인증서 이름 불일치: 클라이언트는 어떤 이름을 비교하나 (RFC 9525)
TLS 클라이언트가 인증서의 SAN과 무엇을 비교하는지 RFC 9525 기준으로 정리합니다. 참조 식별자, DNS-ID와 IP-ID, Common Name 금지, 와일드카드 규칙, 불일치 처리와 점검 목록을 다룹니다.
Referrer-Policy 값별로 Referer에 실리는 것: 전체 URL, 출처만, 아무것도 없음
링크를 누르거나 이미지를 불러올 때 브라우저가 Referer에 무엇을 담는지는 Referrer-Policy가 정합니다. 여덟 가지 값의 차이, URL에서 늘 빠지는 부분, 헤더·meta·속성의 관계, 리다이렉트와 Origin 헤더에 미치는 영향을 명세 기준으로 정리했습니다.
REA로 할 수 있는 것, 조건이 맞아야 되는 것, 지원하지 않는 것
커밋을 고정한 공식 문서를 기준으로 REA의 능력을 표로 정리했습니다. 기본 제공 정적 경로, provider가 필요하거나 상태를 바꾸는 경로, 지원하지 않는 대상, Evidence와 '모름'을 읽는 법까지.
REA 안전하게 시작하기: 첫 연습, 팀 점검표, 30/60/90일 계획
먼저 알아 둘 것, 공식 Notes 픽스처로 하는 위험이 낮은 첫 조사, 팀을 위한 점검표, 제안하는 성공 기준, 중단 조건을 포함한 30/60/90일 시범 도입 계획을 정리했습니다.
REA 후기들은 실제로 무엇을 시험했나: 실행, 데모, 뉴스, 의견을 나눠 읽기
REA에 관한 외부 글 여덟 편을 '누가 무엇을 실행했나'로 분류했습니다. 독립 실행 두 편, 작성자 주장 데모 두 편, 뉴스·의견 세 편, 토론 스레드 한 곳이 각각 무엇을 뒷받침하는지 정리합니다.
REA의 장점과 그 대가, 그리고 앞으로 12~24개월의 다섯 가지 시나리오
REA의 장점은 대부분 같은 설계에서 나온 대가와 짝을 이룹니다. 여섯 쌍의 장단점, 누가 이득을 보는지, 반대 시나리오와 지켜볼 신호를 붙인 다섯 가지 조건부 시나리오. 예측이 아니라 분석입니다.
REA(Reverse Engineer Anything) 정리: 에이전트에게 분석 도구를 연결하는 방식, 배울 것, 지켜볼 것
GitHub에서 빠르게 주목받은 REA가 무엇이고 무엇이 아닌지, 에이전트와 함께하는 조사 흐름, 시작 전에 알아 두면 좋은 배경지식과 학습 순서, 안전과 권리의 경계를 공식 문서를 기준으로 정리했습니다.
HSTS가 막는 것과 못 막는 것: max-age, includeSubDomains, preload
Strict-Transport-Security 헤더를 받은 브라우저가 무엇을 바꾸는지 RFC 6797로 정리합니다. 첫 방문 문제, includeSubDomains의 이점과 위험, 단계적 max-age, 지금 preload를 권장하지 않는 이유까지.
해시 테이블은 언제 O(1)이 아닐까: 충돌, O(n²) 삽입, 해시 플러딩
dict와 HashMap의 O(1)은 기댓값입니다. 키의 해시가 모두 같으면 n개 삽입에 비교가 최소 n(n−1)/2번 필요한 이유, Python 해시 무작위화와 PYTHONHASHSEED, Rust SipHash, Java의 Comparable 대응을 정리했습니다.
JWT 검증에서 alg를 믿으면 안 되는 이유: none, RS256→HS256 혼동과 알고리즘 고정
JWT 헤더의 alg는 토큰을 만든 쪽이 적는 값입니다. alg none과 RS256→HS256 혼동이 통하는 이유, RFC 8725가 요구하는 알고리즘 고정과 키 하나당 알고리즘 하나 원칙, 서명 다음에 확인할 iss·aud·exp·typ를 정리했습니다.
인증 앱의 6자리 코드는 어떻게 만들어질까: TOTP 계산 과정
30초마다 바뀌는 인증 앱 코드가 서버와 맞아떨어지는 원리를 RFC 테스트 값으로 따라갑니다. 시간 단계, HMAC, 동적 절단, 서버 검증, 피싱에 약한 이유까지 정리했습니다.
401과 403의 차이: 인증이 없는 요청과 거부된 요청
HTTP 401 Unauthorized와 403 Forbidden의 차이를 RFC 9110과 OAuth 2.0 Bearer 토큰 명세로 정리했습니다. WWW-Authenticate 헤더, 재요청 규칙, 404로 존재를 숨기는 경우도 다룹니다.
X-Frame-Options와 CSP frame-ancestors: 클릭재킹 방어 헤더, 둘 다 보내면 어떻게 될까
iframe 삽입을 막는 두 헤더의 차이를 CSP Level 3과 HTML 표준으로 정리했습니다. 둘을 함께 보낼 때의 우선순위, ALLOW-FROM이 무시되는 이유, meta 태그로는 안 되는 이유를 다룹니다.
해시 함수란 무엇인가: SHA-256, 체크섬, 비밀번호 저장까지
SHA-256이 항상 64자리인 이유, 한 글자만 바꿔도 결과가 전부 바뀌는 성질, 해시·암호화·인코딩의 차이, 다운로드 파일 검증, 그리고 비밀번호에 빠른 해시를 쓰면 안 되는 이유를 정리했습니다.
특수문자보다 길이: 비밀번호 강도를 비트로 계산하는 법
대문자·숫자·특수문자 규칙을 지킨 비밀번호가 여전히 약한 이유, 엔트로피로 강도를 계산하는 방법, 패스프레이즈, NIST가 바꾼 비밀번호 권고와 2단계 인증을 정리했습니다.
찾는 글이 없습니다. 다른 낱말로 검색해 보세요.