앱 SSL Pinning 구현 (SPKI 해시 기반)

모바일 앱에서 백엔드 서버와의 통신 보안은 매우 중요하다.

일반적인 SSL/TLS 통신은 중간자 공격(Man-in-the-Middle Attack)을 방어하지만, 공격자가 신뢰할 수 있는 CA(인증 기관)에서 발급받은 악성 인증서를 사용하는 경우 우회될 수 있다.

이러한 위협에 대응하기 위한 강력한 보안 메커니즘이 바로 SSL Pinning(인증서 고정) 이다.

SPKI(Subject Public Key Info) 해시 검증 방식 을 사용해서 SSL Pinning을 구현해야 한다.

1분기_비플페이_AI_활용사례_김형준.pdf

추가

SSL Pinning

1️⃣ SSL Pinning?

• 일반 SSL/TLS
  • 클라이언트(앱)는 서버가 제공한 인증서가 공개적으로 신뢰할 수 있는 CA에 의해 발급되었는지 확인한다.
• SSL Pinning
  • 일반 검증 외, 클라이언트 앱 내부에 미리 저장된 특정 서버 인증서 정보(Pin) 와 통신 중 받은 인증서의 정보를 비교하여 일치하는지 추가적으로 검증한다.
  • Pin 불일치 시: 통신을 즉시 거부하여 중간자 공격을 방어한다.

2️⃣ SPKI 해시(Public Key Pin) 추출 방법

Pinning에 사용할 값은 서버 인증서의 공개키(SPKI)를 SHA256으로 해시하고 Base64로 인코딩한 값이다.

이 값을 터미널에서 추출한다.

개발계 해시값

dev-bp-hmc.bizplay.co.kr

• BhXNMdNEm/ZIOXTtS7Ux74ZNlvIPvdlVSSBjPJ/zZlk=

echo | openssl s_client -servername dev-bp-hmc.bizplay.co.kr -connect dev-bp-hmc.bizplay.co.kr:443 2>/dev/null \
  | openssl x509 -pubkey -noout \
  | openssl pkey -pubin -outform der \
  | openssl dgst -sha256 -binary \
  | openssl base64
  
# BhXNMdNEm/ZIOXTtS7Ux74ZNlvIPvdlVSSBjPJ/zZlk=