비즈니스를 보호하려면 API를 보호해야 합니다

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

API는 애플리케이션 계층에서 추상화를 구현하는 능력을 통해 가치를 창출합니다. 예를 들어 API를 사용해 내부 시스템과 데이터에 대한 액세스를 추상화하면 레거시 IT 시스템에 대한 액세스를 간소화하고 자동화할 수 있습니다. 또한 API는 생태계 및 파트너와의 통합을 실현하는 수단입니다. 오늘날 API는 자동화와 오케스트레이션을 위한 핵심 수단이기도 하며, 성공적인 디지털 혁신 여정을 뒷받침하는 핵심 기술 중 하나입니다. 따라서 API는 혁신, 효율적인 실행, 수익 창출의 원천으로서 기업에 전략적으로 중요한 요소가 되었습니다.

수익화

디지털 경제에서는 수익을 창출할 수 있는 모든 것이 결국 수익화됩니다. 특히 API가 그러하며, 연구 결과에 따르면 API 경제는 탄탄한 성장세를 보이고 있습니다.

• 기업 10곳 중 1곳 이상(11%)은 전체 매출의 절반 이상을 API 및 API 관련 구현을 통해 창출합니다. (API의 비즈니스 가치)
• 무려 59%의 기업이 전체 매출의 26~50%를 API를 통해 창출합니다. (API의 비즈니스 가치)

통합

API는 기업 간 통합의 주요 수단으로서 ESB와 웹 기반 포털을 대체했습니다. 디지털 경제에서 비즈니스 성공을 위한 전략적 요소로 API에 의존하는 추세는 여러 자료를 통해 잘 입증되어 있습니다.

o 60% 이상이 API 통합이 비즈니스 전략에 매우 중요하다는 데 동의합니다. (2018년 API 통합 현황)

o 전체 B2B 협업의 50% 이상이 API 통합을 통해 이루어질 것입니다. (2018년 API 통합 현황)

o 51%는 API 개발을 결정하게 된 주요 동인으로 ‘외부 조직과의 파트너십’을 꼽았습니다.
(API 현황 2019)

비즈니스와 마이크로서비스 같은 최신 애플리케이션 아키텍처가 API에 의존함에 따라, 이러한 엔드포인트에 대한 액세스 권한이나 제어권을 확보하는 것의 가치를 아는 공격자들에게 API는 특히 매력적인 표적이 됩니다. 이러한 위험을 고려해 API 계층, 특히 API가 제공하는 비즈니스 기능에 대한 액세스를 보호하는 데 더 많은 주의를 기울여야 합니다.

인증은 선택 사항이 아닙니다

API 보안은 액세스에서 시작되며, 이는 곧 인증을 의미합니다. 오픈 API는 API 액세스 모델을 설명하는 용어가 아닙니다. 이는 API가 잘 문서화되어 있고 표준을 준수한다는 의미의 속성입니다. API를 호출할 때는 항상 인증이 필요하며, 가능하면 권한 부여도 이루어져야 합니다.

사용할 수 있는 옵션은 여러 가지이며, 선택하기 전에 각 옵션의 기능과 한계를 파악해야 합니다.

• 양호: HTTP Basic
  HTTP Basic 인증이 기본값입니다. 오늘날 대부분의 API와 같은 HTTP 기반 트래픽에 인증을 적용하는 가장 간단하고 일반적인 방법입니다. Basic 인증의 단점은 자격 증명이 필요하며, 모두가 알고 있듯이 자격 증명이 여러 애플리케이션에서 공유되는 경우가 많다는 점입니다. 공격자가 시스템에 접근하기 위해 탈취되거나 노출된 자격 증명을 이용하는 사례가 점점 늘고 있습니다. 비밀번호의 강도와 비밀번호가 저장되는 위치 및 방식도 이 방법의 전반적인 보안 수준에 영향을 미칩니다. 아무것도 하지 않는 것보다는 낫습니다.
• 더 나음: API 키
  API 키는 발급자가 발급하고 추적한다고 볼 수 있으므로 HTTP 기본 인증보다 한 단계 나은 방식입니다. API 키는 보안뿐 아니라 사용량 측정 및 청구를 비롯한 다양한 목적으로 배포되고 사용됩니다. 하지만 일반적으로 고정되어 있어 제3자가 이를 추출한 후 정상 사용자를 사칭하는 데 사용할 가능성이 있습니다. 키 공유 역시 심각한 문제입니다. 자격 증명과 마찬가지로 키도 동료나 가족과 공유될 수 있으며 실제로도 공유됩니다. 그리고 더 널리 공유될수록 악의적인 사람이 이를 입수해 사용할 가능성이 커집니다.
• 최상: 만료되는 토큰
  API 수가 증가하면서 토큰 사용도 보편화되었습니다. 오늘날 가장 선호되는 두 가지는 OAuth 토큰(API 전용)과 JWT(JSON 웹 토큰)입니다. HTTP 기반 리소스에 대한 액세스 권한 정보를 교환하는 표준 형식으로 JSON이 사용되고 API 외부에서도 활용할 수 있게 되면서, JWT는 오늘날 가장 널리 쓰이는 인증 및 권한 부여 메커니즘 중 하나로 자리 잡았습니다. 심지어 RFC(7519)도 있습니다. XML 계열의 SAML과 마찬가지로, 인증된 사용자의 액세스 범위와 역할을 설명하는 JSON 어설션이 발급됩니다. 이 어설션은 이식성이 뛰어나며, 무엇보다 만료 일시가 설정되어 있어 인증된 사용자를 사칭하는 데 쉽게 악용될 수 없습니다. 단점은 토큰을 통합하는 데 더 많은 작업이 필요하고 기본적으로 지원되지 않는 경우도 있다는 것입니다. 이로 인해 구현 과정에서 실수가 발생하여 의도치 않게 악용될 가능성이 생길 수 있습니다.

API 보안은 애플리케이션에 직접 구현할 수도 있지만, API 게이트웨이에 구현하는 것이 더 좋습니다. API 게이트웨이는 API를 한층 더 안전하게 보호할 수 있습니다 속도 제한(우발적이거나 의도적인 서비스 거부 공격 방지) 및 권한 부여와 같은 기능을 통해서입니다. 권한 부여는 일반적으로 토큰이나 API 키로 식별되는 지정된 클라이언트만 특정 API 호출에 액세스할 수 있도록 하여 API에 대한 액세스를 제한합니다. 또한 API 게이트웨이는 사용할 수 있는 HTTP 메서드를 제한하고 다른 메서드의 악용 시도를 기록하여 공격 시도를 파악할 수 있게 합니다.

애플리케이션에 대한 의존도가 높아진 만큼, 애플리케이션이 사용하는 API도 보호해야 합니다. 아직 기본적인 보안 조치를 시작하지 않았다면 지금 바로 시작해야 합니다. 비즈니스를 보호하려면 API 보안이 필수입니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물