보안의 기본 개념 설명과 함께 보안에 취약한 애플리케이션을 스프링 시큐리티 프레임워크를 이용해 견고하고 안전하게 구현하는 과정을 단계적으로 다룬다. 애플리케이션에 인증 및 접근 제어 메커니즘 연동, 동시성 제어, 세션 관리 등 스프링 시큐리티 4.2의 기초부터 활용까지 상세한 가이드를 제시한다.

■ 일반적인 보안 취약점 및 해결 방법
■ 모의해킹을 통한 보안 취약점 발견 방법
■ 인증 및 권한 부여 구현
■ LDAP, Active Directory, CAS, OpenID 및 OAuth와 같은 기존의 기업 인프라 구성 요소 사용 방법
■ Spring, Spring-boot 및 Spring-data와 같은 보편적인 프레임워크 연동
■ RESTful 웹 서비스 및 마이크로서비스 아키텍처의 보안 문제
■ LDAP, Apache Directory server 및 SAML과 같은 다른 보안 인프라 구성 요소와 스프링 연동

자바 웹 및 RESTful 웹 서비스의 개발자이고, 자바 8, 자바 웹 및 RESTful 웹 서비스 애플리케이션, XML 및 스프링 프레임워크의 생성에 대한 지식이 있는 사람이면 누구에게나 도움이 될 것이며, 스프링 시큐리티에 대한 어떠한 경험도 필요하지 않다.

1장, ‘취약한 애플리케이션의 구조’에서는 달력 애플리케이션에 대한 가상 보안 감사를 다루며, 스프링 시큐리티를 적용해 해결할 수 있는 일반적인 보안 문제에 대해 설명한다. 또한 몇 가지 기본 보안 용어에 대해 설명하고, 샘플 애플리케이션을 실행하기 위한 전제 조건에 대해 알아본다.
2장, ‘스프링 시큐리티 시작하기’에서는 “Hello World”를 이용해 스프링 시큐리티를 설치하는 방법에 대해 설명한다. 또한 스프링 시큐리티에서 사용하는 가장 일반적인 사용자 정의 설정에 대해서도 알아본다.
3장, ‘사용자 정의 인증’에서는 실무에서의 문제를 해결하기 위한 인증 인프라의 핵심 부분을 사용자 정의를 통해 구현함으로써 스프링 시큐리티의 인증 구조를 설명한다. 이를 통해, 스프링 시큐리티의 인증 방식을 이해하고 기존 인증 메커니즘과 새로운 인증 메커니즘을 연동하는 방법을 배운다.
4장, ‘JDBC 기반 인증’에서는 스프링 시큐리티에 빌트인된 JDBC를 활용해 데이터베이스 기반의 인증을 다룬다. 또한 스프링 시큐리티의 새로운 패스워드화 모듈을 사용해 패스워드를 보호하는 방법에 대해 설명한다.
5장, ‘스프링 데이터를 이용한 인증’에서는 스프링 시큐리티의 스프링 데이터 JPA 및 스프링데이터, MongoDB를 연동해 데이터베이스에 대한 인증을 다룬다.
6장, ‘LDAP 디렉터리 서비스’에서는 LDAP 디렉터리 서버와 애플리케이션을 연동하는 방법에 대해 설명한다.
7장, ‘Remember-Me 서비스’에서는 스프링 시큐리티에서 사용하는 Remember-Me 기능과 이를 구성하는 방법을 설명하며, 사용 시 염두에 둬야 할 추가 고려 사항에 대해서도 알아본다.
8장, ‘TLS를 사용한 클라이언트 인증서 인증’에서는 인증서 관리가 추가 보안을 제공할 수 있는 샘플 애플리케이션과 같은 특정 비즈니스 시나리오에 대한 대안으로서 X.509 인증서 기반 인증을 설명한다.
9장, ‘OAuth 2 적용하기’에서는 OAuth 2 기반의 사용자 로그인 및 사용자 속성에 대해 다루며, 스프링 OAuth 2와 스프링 소셜(Spring Social) 연동 방법을 포함해 OAuth 2 프로토콜의 논리적 흐름에 대한 전반적인 내용을 설명한다.
10장, ‘CAS를 활용한 SSO’에서는 샘플 애플리케이션에 CAS(Central Authentication Service)를 이용해 싱글 사인 온(Single-Sign-On), SSO 및 싱글 로그아웃(Single Logout) 기능을 구현하는 방법에 대해 알아본다. 또한 상태를 저장하지 않는 서비스(stateless services)에서 CAS 프록시 티켓을 사용하는 방법에 대해서도 배운다.
11장, ‘미세 접근 제어’에서는 스프링 시큐리티의 메서드 보안 기능을 사용한 페이지 내 권한 검사(일부 페이지 렌더링) 및 비즈니스 계층 보안에 대해 다룬다.
12장, ‘접근 제어 목록’에서는 까다로운 비즈니스 관련 보안 문제에 유연하게 적용할 수 있는 스프링 시큐리티의 ACL 모듈을 사용해 비즈니스 객체 수준 보안의 개념과 기본 구현 방법을 다룬다.
13장, ‘사용자 정의 권한 부여’에서는 스프링 시큐리티 권한 부여 인프라의 주요 부분에 대한 사용자 정의 구현체를 작성해 스프링 시큐리티의 권한 부여가 이뤄지는 방식을 설명한다.
14장, ‘세션 관리’에서는 스프링 시큐리티가 사용자 세션을 관리하고 보호하는 방법에 대해 설명한다. 일단, 세션 변조 공격(Session Fixation Attack)에 대해 설명하며, 스프링 시큐리티를 이용해 방어하는 방법에 대해 배운다. 또한 로그인한 사용자를 관리하는 방법과 단일 사용자가 보유한 동일 세션 수를 제한하는 방법에 대해 설명한다. 마지막으로, 스프링 시큐리티에서 http 세션과 사용자를 연결하는 방법과 사용자를 지정하는 방법에 대해 다룬다.
15장, ‘스프링 시큐리티의 추가 기능’에서는 스프링 시큐리티의 추가 기능과 크로스 사이트 스크립팅(XSS), 크로스 사이트 요청 위조(CSRF), 동기화 토큰 및 클릭 재킹(Clickjacking)과 같은 일반적인 보안 취약점과 이를 방지하는 방법에 대해 설명한다.
16장, ‘스프링 시큐리티 4.2 마이그레이션’에서는 설정 변경 사항, 클래스 및 패키지 마이그레이션(migration), 새로운 주요 기능 등을 포함한 스프링 시큐리티 3에서의 마이그레이션 방향을 제공한다. 또한 스프링 시큐리티 4.2에서 볼 수 있는 새로운 기능을 강조하고 책에서 설명하는 기능에 대해 도움 자료를 제공한다.
17장, ‘OAuth 2 및 JSON 웹 토큰을 이용한 마이크로서비스 보안’에서는 마이크로서비스 기반 구조를 배우고, OAuth 2와 JWT가 스프링 기반의 애플리케이션에서 역할을 수행하는 방법을 다룬다.
부록의 ‘참고 자료’에서는 스프링 시큐리티와 직접적인 관련은 없지만, 이 책에서 다루는 주제와 관련이 있는 참고 자료를 포함하고 있다. 부록에서 가장 중요한 부분은 이 책의 샘플 코드를 실행하는 데 도움이 되는 내용을 다루는 부분이다.

보안에 취약한 애플리케이션이 해커의 좋은 표적이 된다는 것을 알고 있다면 애플리케이션 개발 시 보안이 얼마나 중요한지 알고 있을 것이다. 하지만 기존의 코드와 새로운 기술 및 기타 프레임워크를 연동해야 할 때 보안은 매우 복잡한 요소로 여겨진다. 따라서 이 책에서는 충분히 실행되고 검증된 스프링 시큐리티 프레임워크와 강력하고 사용자 정의 가능한 인증 및 접근 제어 프레임워크를 이용해 자바 기반 애플리케이션을 보호하는 방법을 알려준다.

믹 넛슨(Mick Knutson)

IT 산업 분야에서 25년 이상의 경력을 갖고 있다. 열정적이고 경험이 풍부한 엔터프라이즈 기술 컨설턴트이자 자바 설계자 및 소프트웨어 개발자로, 자신만의 특별하고 전문적인 경험을 바탕으로 학생들이 효과적이고, 실용적이며, 편리한 방법으로 소프트웨어 개발에 대해 학습할 수 있도록 노력하고 있다.
개인 및 대규모 기업체에 고급 소프트웨어 컨설팅과 교육을 제공하면서 실무 지식을 얻었다. VMware, Spring Source, FuseSource, Global Knowledge, Knowledge United를 포함해 유명 클라이언트 및 파트너와 협력했으며, OOA/OOD/OOP, 자바, 자바 EE, 스프링 시큐리티, 오라클, 기업 통합(Enterprise Integration), 메시지지향 미들웨어(Message-Oriented Middleware, MOM) 등의 전문 기술을 보유하고 있다.
IT 업계의 배테랑으로서 가능한 한 많은 사람을 돕기로 결심하고, 누구나 소프트웨어 개발자가 될 수 있다는 것을 보여주기로 마음먹었다. 이를 위해 전 세계적으로 연구 세미나, 오찬 세미나, 서적 출판 계약 및 백서 계약을 진행하고 있다. 또한 스프링 시큐리티, 자바 EE 6, HTTP 및 VisualVM에 관한 여러 기술 서적을 저술하고 기사를 게재했고, DZone에서 블로거로 활동 중이며, MVB(Most Valuable Blogger) 그룹의 일원이다.
20년 넘게 소프트웨어 개발에 몰두한 경험을 바탕으로 복잡한 기술 개념을 다양한 사용자가 이해하기 쉬운 언어로 변환하는 것을 즐긴다. 따라서 숙련된 소프트웨어 전문가에게든 경험이 없는 초보자에게든 복잡한 IT 개념을 간소화해 설명해줄 수 있다.
노련한 전문가의 경험을 토대로 소프트웨어 개발에 대해 알고 싶어 하는 모든 사람을 돕는 것을 목표로 삼고 있다. 이를 위해 교육 과정을 최대한 풍부하고, 매끄러우며, 간편하게 만들어 학습자가 최단 시간 안에 소프트웨어를 마스터할 수 있도록 설계했다.
학습자가 돈과 시간을 최대한 효율적으로 활용해 소프트웨어 개발을 올바르게 배울 수 있도록 하기 위해 노력 중이다.

로버트 윈치(Robert Winch)

현재 VMware의 선임 소프트웨어 엔지니어며, 스프링 시큐리티 프레임워크의 프로젝트 팀장이다. 이전에는 미국의 가장 큰 전자 의료 시스템 제공 업체인 서너(Cerner)에서 소프트웨어 설계자로 근무하면서 의료 애플리케이션 보안을 담당했다. 경력 전반에 걸쳐 다양한 보안 표준(LDAP, SAML, CAS, OAuth 등)을 스프링 시큐리티에 적용시키며 실무 경험을 쌓았다. 서너에서 일하기 전에는 로욜라 대학(Loyola University Chicago)의 단백질학 연구소와 아르곤 국립 연구소(Argonne National Labortory)의 Globus Toolkit을 위한 프리랜서 웹 계약자로 일했다.

피터 뮬라리엔(Peter Mularien)

경험이 풍부한 소프트웨어 설계자이자 엔지니어며, 『스프링 시큐리티 3』(위키북스, 2010)의 저자기도 하다. 현재 대형 금융 회사에서 근무하고 있으며, 자바, 스프링, 오라클 및 기타 여러 엔터프라이즈 기술에 12년 이상의 컨설팅 및 제품 경험을 보유하고 있다. 또한 이 책의 기술 감수자기도 하다.

스프링 시큐리티는 스프링 기반의 보안 프레임워크다. 다소 생소한 프레임워크지만 스프링에 대한 최소한의 지식을 갖고 있거나 자바를 다룰 수 있는 개발자라면 스프링 시큐리티에 대한 지식이 없어도 충분히 이 책을 따라갈 수 있다. 샘플로 제공되는 코드는 다이어그램을 활용해 자세하게 설명하고 있으므로 다이어그램에 충분한 시간을 투자하면 쉽게 이해할 수 있을 것이다. 또한 이 책은 애플리케이션 개발자로서 한 번쯤은 접해봤을 인증, 권한 부여, 접근 제한 등의 기본 보안 개념에 대해 설명하며, 이를 애플리케이션에 적용하는 방법을 차근차근 설명하고 있다. 단 한 권의 책에 스프링 시큐리티에 대한 모든 내용을 다룰 수는 없지만 애플리케이션을 구현하는 데 있어 사용되는 기본적인 개념들을 짚고 넘어가므로 이 책에 수록된 다양한 예제와 소스 코드를 꼼꼼히 살펴보면 이론뿐만 아니라 현업에서도 스프링 시큐리티와 관련된 대다수의 보안 문제를 해결할 수 있을 것이라 생각한다.

김지연

보안 컨설팅 전문 회사에서 모의 해킹 컨설턴트로 재직하고 있으며, 웹 및 모바일 애플리케이션 등의 다양한 영역에서 취약점 점검 업무를 수행하고 있다. 아직 국내에 잘 알려지지 않은 보안 지식을 다양한 독자에게 공유하고 이해시키고자 개인 블로그 및 해외 서적 번역을 통해 노력 중이다. 앞으로도 계속 보안 기술을 탐구하고 알리기 위해 노력할 것이다.