지난 주, 보안 회사 앱소리티는 다음과 같은 제목의 보고서를 발표했습니다. HospitalGown: 백엔드 노출로 인해 기업 데이터가 위험에 노출되는 상황를 강조한 새로 발견된 취약점 모바일 앱과 기업 데이터가 포함된 안전하지 않은 백엔드 데이터베이스 사이에서 발생합니다. 이 취약점은 앱의 코드가 아니라 애플리케이션 개발자가 방화벽과 인증을 통해 백엔드 서버를 제대로 보호하지 않았기 때문에 발생합니다.
Appthority는 여러 백엔드 플랫폼에 대한 여러 노출 사례를 인용했으며, 보고서의 초기 버전에서 Couchbase를 언급했습니다. 그러나 이후 검토를 통해 연구원들은 의도치 않게 포함되었다는 사실을 깨닫고 Couchbase에 다음과 같은 성명을 발표했습니다:
저희 연구팀이 야생에서 발견된 Couchbase 서버를 분석한 결과, 모두 인증이 필요한 것으로 나타났습니다... CouchDB 호스팅 제공업체를 의미하는 Couchbase가 부정확하게 나열되어 있는 것을 발견했습니다.
이것은 제 동료인 Wayne Carter가 이전 블로그에서 다음과 같은 제목으로 작성한 것과 동일한 인증입니다. 카우치베이스 모바일로 분산형 데이터 보안 문제 해결
Couchbase는 처음부터 보안을 염두에 두었습니다. 처음부터 기본으로 제공한 것이 아니라 사후에 추가한 것입니다. 이러한 방식으로 구축하면 개발자의 부담을 덜어주는 데도 도움이 됩니다.
인증 측면에서는 Facebook과 같은 인기 있는 공개 로그인 제공업체와 표준 OIDC(OpenID Connect) 제공업체를 즉시 지원하는 등 플러그형 인증을 지원합니다. 또한 개발자는 자신만의 사용자 지정 공급자를 작성할 수 있습니다. 또한 개발자는 인증에 성공한 사용자만 시스템에 액세스할 수 있도록 제한하거나 선택적으로 익명 사용자를 허용할 수도 있습니다.
하지만 잠깐만요, 더 있습니다.
앞서 Wayne이 언급한 것처럼, 앱은 인터넷 연결 여부와 관계없이 항상 작동해야 한다는 기대가 있습니다. 이러한 기대에 부응하려면 디바이스에서 직접 분산 데이터에 액세스하고 저장해야 합니다. 분산된 데이터를 관리하면 관리가 중요한 여러 가지 보안 위험이 발생하는데, Appthority 연구원들이 발견한 것이 바로 이러한 위험입니다. 사용자 인증 외에도 데이터 저장 및 전송 작업 시에는 네 가지 주요 보안 문제가 있습니다:
- 데이터 읽기/쓰기 액세스
- 유선 데이터 전송
- 디바이스의 데이터 저장소
- 클라우드의 데이터 스토리지
카우치베이스 모바일은 이러한 문제를 해결합니다.
- For 데이터 읽기/쓰기 액세스 개별 사용자 및 역할에 대한 데이터 액세스를 제어할 수 있는 세분화된 정책 도구가 있습니다. 읽기 권한은 문서 수준에서, 쓰기 권한은 필드 수준에서 제어할 수 있습니다.
- 유선 데이터 전송는 이동 중인 데이터의 경우 TLS를 사용합니다.
- 디바이스의 데이터 저장소는 기기에 저장된 데이터에 대해 기기에 내장된 파일 시스템 암호화와 256비트 AES 전체 데이터베이스 암호화를 사용합니다.
- 클라우드의 데이터 스토리지를 사용하여 클라우드에 저장된 데이터에 대해 파일 시스템 암호화를 사용하도록 Couchbase Server를 구성할 수 있습니다.
카우치베이스 모바일을 사용하면 전체 네트워크 및 애플리케이션 스택에서 데이터를 손쉽게 관리할 수 있습니다. 여기에는 클라우드, 휴대폰, 태블릿, 웹, TV, 자동차 등 모든 곳에서의 저장, 액세스, 동기화, 보안이 포함됩니다.
보안이 완곡한 표현으로 지퍼를 잠그는 것이 아니라 고객의 등을 감싸고 있습니다.
