SD-12
⛔ 인증 수행 제한 (설계)
설계단계 보안설계 · 보안기능
위험도: 상💡 쉽게 말하면
로그인 시도 횟수를 제한하지 않으면, 도둑이 비밀번호를 무한정 찍어 맞히는 것과 같습니다. 실패가 누적되면 계정을 잠그고 CAPTCHA로 자동 시도를 막도록 설계해야 합니다.
로그인 시도 횟수를 제한하지 않으면, 도둑이 비밀번호를 무한정 찍어 맞히는 것과 같습니다. 실패가 누적되면 계정을 잠그고 CAPTCHA로 자동 시도를 막도록 설계해야 합니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 한 계정에 수많은 비밀번호를 자동으로 대입한다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 설계 결정
로그인 실패 제한 없음
→ 무차별 대입으로 계정 탈취
✓ 안전한 설정
# 설계 결정
실패 횟수 제한 + 점증 지연/잠금
CAPTCHA·이상행위 탐지
→ 자동 대입 차단
🔧 조치 방법
- 로그인 실패 임계치와 계정 잠금/지연 정책을 설계합니다.
- 자동화 차단(CAPTCHA, 속도 제한)을 설계에 포함합니다.
- 중요 거래 전 재인증 정책을 설계합니다.
✅ 점검 체크리스트
- 실패 횟수 제한이 설계됨
- 자동화 차단이 설계됨
- 재인증 정책이 설계됨
점검기준: 개발보안 설계기준 2.2 인증 수행 제한