보안 강화 기능의 사용 가능화 및 마이그레이션 고려사항
WebSphere® Application Server의 이 릴리스에서는 서버의 더 많은 보안 강화 기능이 기본적으로 사용 가능합니다. 마이그레이션할 때, 마이그레이션 전에 사용으로 설정된 설정은 유지됩니다. 그러나 기능이 마이그레이션 후에 사용 가능하지 않은 경우 스스로 사용으로 설정할 수 있습니다.
WebSphere Application Server 구성이 기본적으로 안전하게 설정되도록 보장하기 위해, 다음 기본값이 WebSphere Application Server 버전 8.0에서 새 보안 강화 기능의 일부로서 변경되었습니다.
- SSL(Secure Socket Layer) 사용 - CSIv2(Common Secure Interoperability
version 2) 전송에서 기본적으로 필수
CSIv2 전송 계층에 대한 다음 설정이 존재합니다. TCP/IP 연결을 위한 TCP/IP, TCP/IP 또는 SSL 연결을 위한 SSL-supported 및 SSL 연결만을 위한 SSL-required. SSL-required가 WebSphere Application Server의 이 릴리스에서 새로운 기본값입니다. 기본 설정으로 SSL-required로의 전환은 서버로/부터의 모든 CSIv2 연결이 보안 SSL 연결을 사용 중이도록 보장합니다.
- 기본적으로 LTPA 쿠키에서 HttpOnly 속성 사용
com.ibm.ws.security.addHttpOnlyAttributeToCookies 사용자 정의 특성이 true로 설정될 때, HttpOnly 속성이 서버에 의해 작성되는 보안 쿠키(LTPA 및 WASReqURL 쿠키)에 추가됩니다. HttpOnly 속성은 일부 XSS(Cross-site scripting) 취약점을 방지하기 위해 클라이언트측 애플리케이션(예: Java™ 스크립트)이 쿠키에 액세스하지 못하도록 작성된 브라우저 속성입니다. 이 속성은 이제 관리 콘솔에서 구성 가능합니다. WebSphere Application Server 버전 8.0 전에는 com.ibm.ws.security.addHttpOnlyAttributeToCookies 사용자 정의 특성 기본값이 false입니다. WebSphere Application Server 버전 8.0에서는 기본값이 이제 LTPA 쿠키 및 세션 쿠키 모두에 대해 true입니다.
자세한 정보는 보안 사용자 정의 특성 기사의 com.ibm.ws.security.addHttpOnlyAttributeToCookies 사용자 정의 특성을 참조하십시오.
- 기본적으로 세션 보안 통합 사용
인증된 사용자만 보안 페이지에서 작성되는 세션에 액세스할 수 있습니다. 세션 관리 기능은 보안 인프라를 사용하여 클라이언트 HTTP 요청과 연관된 인증된 ID를 판별하고 세션을 검색 또는 작성합니다. 세션 보안에 대한 자세한 정보는 세션 보안 지원 항목을 읽으십시오.
세션 보안 통합 사용과 더불어, 신임 정보 지속성도 사용 가능합니다. 이것은 로그인 정보가 보호되지 않는 웹 클라이언트에 사용 가능하게 하여 사용자 정보에 대한 추가 액세스를 가능하게 합니다. 신임 정보 지속성에 대한 자세한 정보는 웹 인증 설정 항목의 "보호되지 않는 URI가 액세스될 때 사용 가능한 인증 데이터 사용" 절을 참조하십시오.
마이그레이션 후 새 보안 강화 기능 사용
새 보안 기능이 마이그레이션 후에 사용 가능하지 않은 경우, 관리 콘솔이나 스크립트를 사용하여 사용자 스스로 사용 가능하게 할 수 있습니다.
- CSIv2에서 기본적으로 SSL 사용 가능
- CSIv2에서의 인바운드 및 아웃바운드 전송에 대해 기본적으로 SSL을
사용 가능하게 하려면 다음을 수행하십시오.
관리 콘솔을 사용 중인 경우, SSL- required를 선택한 후 적용을 클릭하십시오.
을 선택하십시오. 전송 상자의 풀다운 목록에서CSIv2 아웃바운드 통신에 대해 동일한 단계를 반복하고 SSL- required를 선택한 후 적용을 클릭하십시오.
을 클릭하십시오. 전송 상자의 메뉴 목록에서스크립트를 사용하여 CSIv2에서의 인바운드 및 아웃바운드 전송에 대해 기본적으로 SSL을 사용 가능하게 하려는 경우, configureCSIInbound 및 configureCSIOutbound 명령을 사용하십시오. 자세한 정보는 스크립트를 사용한 Common Secure Interoperability 권한 부여 구성 주제를 참조하십시오.
클라이언트 측에서는 sas.client.props 파일을 편집하십시오. com.ibm.CSI.performTransportAssocSSLTLSRequired를 true로 변경하고 com.ibm.CSI.performTransportAssocSSLTLSSupported를 false로 변경하십시오.
- HttpOnly 쿠키 속성 사용 가능
- 기본적으로 쿠키에서 HttpOnly 속성을 사용 가능하게 하려면 다음을 수행하십시오.
관리 콘솔을 사용 중인 경우 새로 작성을 클릭하고 이름에 대해 com.ibm.ws.security.addHttpOnlyAttributeToCookies를 입력하고 값에는 true를 입력하십시오.
을 클릭하십시오.또한 관리 콘솔을 사용하여 HttpOnly 속성을 사용으로 설정할 수 있습니다. 보안 쿠키를 HTTPOnly로 설정을 클릭하여 XSS(Cross-site scripting) 공격을 방지한 후 적용을 클릭하십시오.
을 클릭하여스크립트를 사용하여 기본적으로 쿠키에서 HttpOnly 속성을 사용 가능하게 하려면 setAdminActiveSecuritySettings 명령을 사용하십시오.
- 세션 보안 통합 사용
- 관리 콘솔을 사용하여 각 서버에 대해 세션 보안 통합을
사용 가능하게 하려면 보안 통합
선택란을 선택하십시오.
관리 콘솔에서 신임 정보 지속을 사용 가능하게 하려면 보호되지 않는 URI가 액세스될 때 사용 가능한 인증 데이터 사용 선택란을 선택하십시오.
을 클릭하십시오.
를 선택하십시오.
보안 강화 기능 사용 문제점 해결
새로운 보안 강화 기능이 사용 가능할 때, 과거에 사용했었던 환경에 따라서 시스템 동작에서 몇 가지 차이점이 보일 수 있습니다.
예를 들어, CSIv2 전송이 SSL-supported의 이전 기본값으로 설정되는 환경에서 오는 경우, SSL-supported가 TCP/IP 및 SSL 연결 모두와 통신하므로 어떤 차이도 경험하지 않습니다. 그러나 문제점이 발생되는 경우, 클라이언트와 서버가 통신할 수 있도록 인증서가 올바르게 교환되지 않았을 수 있습니다. 자세한 정보는 SSL(Secure Socket Layer)을 사용한 통신 보안 주제를 읽으십시오.
TCP/IP가 CSIv2에 대한 연결에 사용되는 환경에서 작업한 경우, SSL 가능 CSIv2 연결 문제점이 발생할 수 있습니다. 서버 구성을 SSL-supported로 또는 SSL이 필수가 아닌 경우 TCP/IP로 수정할 수 있습니다.
HttpOnly 속성의 경우 속성이 보안 쿠키에 추가될 때 브라우저가 클라이언트 측 스크립트가 이들 쿠키를 액세스하지 못하게 합니다. 대부분의 경우 XSS(Cross-site scripting) 취약점을 최소화하기 위해 이것이 기본 동작이어야 합니다. 클라이언트 측 스크립트가 WebSphere 보안 쿠키에 액세스할 수 있도록 허용해야 하는 절대적인 필요성이 있고 가능한 결과를 인식하는 경우, HttpOnly 속성의 설정을 사용 안함으로 설정할 수 있습니다.
그러나 HttpOnly 속성이 WebSphere 쿠키에 액세스하는 데 사용되는 클라이언트 측 스크립트를 알아낼 수 있으며, 그렇게 의도하지 않은 경우에도 해당 스크립트를 사용할 수 있습니다. 이 경우 스크립트가 WebSphere 쿠키에 액세스할 수 있게 하는 웹 애플리케이션이 평가되어야 합니다.
세션 보안 통합 사용 가능을 위해, 세션 통합 보안이 사용 가능할 때 서블릿이 현재 세션을 소유하는 ID가 아닌 다른 인증된 ID에 속하는 세션에 액세스할 때 서블릿에서 UnauthorizedSessionRequestException 예외가 발생할 수 있습니다. 이 검사가 발생하기를 원하지 않는 경우, 해당 문제점이 발생하고 있는 서버에서 세션 보안을 사용 안할 수 있습니다.