프로 ASP.NET 웹 API 보안(철통보안시리즈 19)

ASP.NET Web API 서비스를 효과적으로 보호하기 위한 지침서 《프로 ASP.NET 웹(Web) API 보안》과 함께 웹 API에 적합한 보안을 적용해보고 보안 취약점을 막는 방법에 대해 알아보자. 이 책은 ASP.NET Web API를 보호할 수 있는 다양한 방법을 제공하고 요구사항에 적합한 기술을 결정할 수 있게 도와주며, 기본 원칙을 따르는 보안 개념을 풍부한 예제를 통해 직접 코드를 보면서 이해할 수 있다. 이 책에서 다루는 내용 --신원 관리 및 암호화 --HTTP 기본, 다이제스트(digest) 및 윈도우 인증 --웹 캐싱, ETag, CORS와 같은 HTTP 고급 개념 --API 키, 클라이언트 X.509 인증서, SAML 토큰 등의 소유권(Ownership) 요소 --Simple Web Token(SWT), 서명, 암호화된 JSON Web Token(JWT) --전달자(barer) 토큰으로써 JWT를 사용하여 처음부터 구현해보는 OAuth 2.0 --DotNetOpenAuth를 사용하는 OAuth 2.0 인증 코드와 암시적 승인 --Google Authenticator를 통한 이중(Two-factor) 인증 --2013년 OWASP에서 제공하는 상위 10개의 보안 위험 웹 API를 보호하는 데 전반적으로 사용할 수 있는 보안 솔루션이란 존재하지 않는다. 여러분은 《프로 ASP.NET Web API 보안》을 통해 가장 유용한 기술들을 배우고 각각의 기술을 선택하는 이유를 이해하게 될 것이며, 또한 웹 API에 적합한 방식을 찾고 최적의 기술을 선택하는 데 필요한 지식을 얻게 될 것이다. 정확히 알고 결정한 방식이 최고의 보안이다!

1장. ASP.NET Web API에 온 것을 환영합니다 Web API란 무엇인가? RESTful 웹 API 기초 Hello, ASP.NET Web API! WCF vs. ASP.NET Web API ASP.NET Web API가 빛을 발하는 시나리오 보안 지침 요약 2장. RESTful 서비스 구축 RESTful 서비스란 무엇인가? 자원의 식별 표현을 통한 자원의 조작 자기 기술형(SelfDescriptive) 메시지 응용프로그램 상태 엔진으로서의 하이퍼미디어 ASP.NET Web API의 구현 및 사용 Web API 보안을 위한 첫 번째 시도 요약 3장. 확장 지점 확장 지점은 무엇이고 왜 사용하는가? ASP.NET Web API 수명주기 필터 HTTP 모듈 요약 4장. HTTP 구조 및 보안 HTTP 트랜잭션 HTTP 요청 요청 헤더 HTTP 메소드 메소드 오버라이드 HTTP 응답 상태 코드 응답 헤더 응답 본문 웹 캐싱 엔티티 태그 CrossOrigin Resource Sharing HTTP Cookies 프록시 서버 HTTPS Fiddler: 웹 디버깅을 위한 도구 요약 5장. 신원 관리 인증 및 권한 부여 Thread.CurrentPrincipal의 특별한 경우 클레임 기반 보안 클레임 기반 보안 사용 클레임 기반의 ASP.NET Web API 구현 보안 토큰 요약 6장. 암호화 및 서명 암호화 대칭 키를 사용한 메시지 암호화 대칭 키를 사용한 메시지 서명 비대칭 키를 사용한 메시지 암호화 비대칭 키를 사용한 메시지 서명 토큰 암호화 및 서명 요약 7장. WIF를 통한 사용자 정의 STS WSTrust 사용자 정의 STS 개발 사용자 정의 STS에 토큰 요청 요약 8장. 지식 요소 기본 인증 다이제스트 인증 Windows 인증 가장 요약 9장. 소유권 요소 사전 공유 키 X.509 클라이언트 인증서 SAML 토큰 요약 10장. 웹 토큰 Simple Web Token JSON Web Token JWT 처리기 요약 11장. Live Connect API를 사용한 OAuth 2.0 OAuth 유스 케이스(Use Case): 응용프로그램 간의 데이터 공유 OAuth 2.0 역할 OAuth 2.0 클라이언트 유형 OAuth 2.0 클라이언트 프로필 OAuth 2.0 인증 방식 유형 액세스 토큰 리프레시 토큰 Live Connect API 사용 요약 12장. 처음부터 시작해보는 OAuth 2.0 시나리오: 연락처 정보 공유하기 설계 HTTP 트랜잭션 Contacts Manager 응용프로그램 구축 Promotion Manager 응용프로그램 구축 권한 부여 서버 구축 자원 서버 구축 보안 고려사항 요약 13장. DotNetOpenAuth를 사용한 OAuth 2.0 설계 HTTP 트랜잭션 기반 구현 클라이언트 응용프로그램 구축 권한 부여 서버 구축 자원 서버 만들기 암시적 허용 요약 14장. 이중 인증 ASP.NET Web API를 이용하여 포괄적 TFA 구현하기 Google Authenticator 주문형(OnDemand) 요청별 TFA 구현하기 모바일 휴대폰을 통한 이중 보안 요약 15장. 보안 취약점 OWASP 응용프로그램 보안 위험 보안 = 하드웨어 + 소프트웨어 + 프로세스 로깅, 감사, 추적 입력값 유효성 검사 요약 부록. ASP.NET Web API 보안 핵심 요약