API 키 유출부터 접근권한 취약점까지, 기업이 점검할 API 보안 수칙

‍

API 키 유출부터 접근권한 취약점까지, 기업이 점검할 API 보안 수칙

‍

‍

■ 기업이 주의해야 할 주요 API 보안 취약점

출처: Magnific

1) API 키 유출, 인증정보 관리의 중요성

API 키는 서비스와 서비스를 연결하는 인증 수단입니다. 문제는 이 API 키가 소스코드, 깃허브 저장소, 환경설정 파일, 로그 등에 평문으로 노출되는 경우가 적지 않다는 점입니다. 유출된 API 키로 인증이 이뤄진다면, 공격자는 해당 키에 부여된 권한 범위에서 서비스를 무단 호출하거나 데이터에 접근할 수 있습니다.

API 키의 유출 위험을 줄이려면 소스코드에 키를 직접 입력하지 않고 별도의 비밀정보 관리 기능으로 보관해야 합니다. 또한 키별 접근권한을 필요한 범위로 제한하고, 사용 목적에 맞는 유효기간과 교체 기준을 설정해야 합니다.

2) BOLA, 사용자별 데이터 접근권한 검증 미흡

객체 수준 접근권한 검증 미흡(Broken Object Level Authorization, BOLA)은 API가 데이터에 대한 사용자별 접근권한을 제대로 확인하지 않을 때 발생하는 취약점입니다. 예를 들어 사용자가 주문 내역을 조회하는 요청에서 주문번호를 다른 사람의 번호로 바꾼다고 가정합니다. 서버가 해당 주문에 접근할 권한을 검증하지 않으면 타인의 주문 정보가 노출될 수 있습니다.

BOLA는 국제 웹 보안 프로젝트 OWASP의 ‘API 보안 10대 위험’ 2023년판에서 첫 번째 항목으로 제시됩니다. 로그인 인증이 정상적으로 이뤄졌더라도 각각의 데이터에 대한 접근권한을 별도로 확인해야 한다는 점이 핵심입니다.

3) Shadow API와 Zombie API, 관리되지 않는 API의 위험

섀도우 API(Shadow API)는 조직의 공식 관리 목록에서 누락됐거나 충분히 파악되지 않은 API를 의미합니다. 좀비 API(Zombie API)는 새로운 버전으로 대체된 뒤에도 운영 환경에 남아 있는 구버전 API를 가리킵니다. 이러한 API가 보안 점검이나 접근통제 대상에서 빠지면 공격자가 악용할 수 있는 취약한 접점이 될 수 있습니다.

예를 들어 개발팀이 테스트용 API를 운영 환경에 남겨두거나, 새 버전으로 전환한 뒤 구버전 API를 종료하지 않은 경우 관리 사각지대가 발생할 수 있습니다.

이 밖에도 API가 필요 이상의 개인정보를 반환하거나 일반 사용자에게 관리자 기능을 허용하는 등의 권한 설정 문제도 점검해야 합니다. 따라서 API 보안은 키 관리와 사용자별 데이터 접근권한뿐 아니라 응답 정보의 범위와 기능별 권한까지 함께 확인해야 합니다.

‍

■ 기업이 확인해야 할 API 보안 점검 항목

[표] 기업이 확인해야 할 API 보안 점검 항목

API 보안 점검은 조직이 실제 운영하는 API와 처리 데이터를 파악하는 데서 출발합니다. 이후 API 키 관리, 사용자별 접근권한, 데이터 반환 범위와 비정상 호출 여부를 확인하고 중요도가 높은 API부터 개선하는 것이 좋습니다.

‍

■ API 보안, 식별부터 검증까지

API 보안은 새로운 서비스가 배포되거나 기능이 변경될 때마다 점검해야 하는 기업 사이버 보안의 주요 영역입니다. 특히 기업이 관리하지 못하는 외부 노출 자산을 찾아내고, 실제 공격으로 이어질 수 있는 취약점을 검증하는 과정이 중요합니다.

SK쉴더스는 공격표면관리(ASM)로 기업 외부에 노출된 IT 자산을 식별하고 위험도를 분석합니다. 여기에 화이트해커 그룹 EQST의 모의해킹·취약점 진단 역량을 결합해 기업의 보안 위험 점검을 지원합니다.

▶ SK쉴더스 모의해킹·진단 서비스 알아보기

‍

■ 자주 묻는 질문 (FAQ)

‍

Q1. API 키가 유출되면 어떤 피해가 발생하나요?

A. API 키가 유출되면 공격자가 해당 키의 권한 범위에서 서비스를 무단 호출하거나 데이터를 조회·변경할 수 있습니다. 실제 피해는 키에 설정된 접근 범위와 API의 추가 인증·권한 검증 여부에 따라 달라집니다.

Q2. 웹방화벽(WAF)만으로 API 공격을 막을 수 있나요?

A. 웹방화벽(WAF)은 다양한 웹 공격을 탐지하고 차단하는 데 도움이 되지만, BOLA처럼 정상적인 요청 형식으로 발생하는 접근권한 악용을 모두 막을 수는 없습니다. 따라서 서버 측 접근권한 검증과 비정상 호출 모니터링, API 자산 관리 등을 함께 적용하는 것이 중요합니다.

Q3. Shadow API는 어떻게 찾나요?

A. 개발 문서나 API 관리 목록만으로는 모든 Shadow API를 파악하기 어려울 수 있습니다. API 게이트웨이와 실제 호출 로그, 트래픽 분석 등을 활용해 운영 중인 API를 식별하고 관리 목록과 대조해야 합니다. 외부에 노출된 API와 관련 서비스는 ASM으로 확인하고, 실제 악용 가능성은 EQST의 모의해킹으로 검증할 수 있습니다.

Q4. 기업은 API 보안을 어디서부터 점검해야 하나요?

A. 먼저 운영 중인 API와 외부 노출 여부, 처리하는 데이터, 담당 부서를 파악해야 합니다. 이후 API 키의 저장·사용·회수 정책을 확인하고, 사용자별 접근권한 검증과 비정상 호출 모니터링을 점검하는 것이 좋습니다. 중요도가 높은 API부터 우선순위를 정해 점검하면 효율적으로 관리할 수 있습니다.

‍