채팅앱 해킹방지 대응해드립니다

1.     SSH(서버 원격접속) 포트를 기본포트(22)를 사용하지 않고 잘 쓰지 않는 포트를 사용

2.     방화벽을 사용하여 허용된 방법 이외에는 서버로의 접근을 금지하고 있음.

3.     DDOS 공격방어 서버에 설치

4.     서버 로그를 디테일 하게 남기도록 변경

5.     해외아이피 접속 차단 제작했으나 현재는 쓰지 않음.

6.     그누보드를 사용하여 제작되어 웹사이트에서 발생할 수 있는 공격(입력값 변조등 고전적인 수법) 은 다 차단 되어있는 상태.

7.     SSL 적용했기때문에 수신 중간에서 변조하는 건 불가능.

8.     일반적으로는 접근할 수 없게 되어있지만, 그누보드에 기본적으로 존재하는 파일 으로 다이렉트 접근하면서 일반회원으로 가입을 하고, 일반회원이 관리자페이지를 볼 수 있었던 문제
-> 일반회원 등록, 수정부분 사용불가로 변경, 관리자 2등급 권한제도를 일반회원이 있다는 가정하에 3단계로 분류해서 만일 로그인이 되더라도 일반인은 관리자를 볼 수 없도록 함

9.     여성회원의 경우 SMS인증을 통해서만 가입되도록 함
–> 서버 직접 체크방식이라 변조가 불가능

10.   고객의 휴대폰번호를 이용한 로그인 방식은 쉽게 변조해서 탈취하는 것으로 보여져서 필수로 해독이 불가능한 비밀번호를 입력하도록 변경
-> 이후 탈취사례는 없어짐.

11.   공격자가 과거에 만들어진 방법으로 우회해서 회원가입을 함
->과거에 사용했던 회원가입 주소 사용불가로 처리

12.   목록조회 api를 이용해서 휴대폰 개인정보 수집하는 문제, 이 방식으로 수집한 전화번호로 사칭 SMS를 발송하는등 대범하게 나옴.
-> 휴대폰번화번호등 개인정보를 앱으로 넘겨주지 않도록 처리. 만일 넘겨줘야할 경우 암호화가 필요할 것으로 생각됨

13.   어플을 이용하지 않고, api주소로 postman과 유사한 프로그램으로 들어오는 것으로 판단되어서 휴대폰 어플로 접근 하는 것 이외에는 막는 방법이 필요해짐
-> 토큰이 변경되면 sms인증값이 초기화되어서 재 인증을 하도록 함.
-> useragent에 우리어플은 okhttp 라이브러리를 사용하면서 저 글자가 같이 들어옴. Okhttp가 안들어올경우 접근을 차단
-> 공격자에게 시간 값 타임스탬프 값을 만들면서 전송하는 기능이 없다고 판단해서 토큰(시간값)을 같이 전송하는데, 30분 전후에 만들어진 토큰이 아니면 차단하도록 처리

14.   관리자에서 차단당한 유저가 계속해서 활동하는 문제
-> 채팅시 유저정보를 항상 갱신하도록 변경하여 채팅 전송을 막음
-> 차단시 어플로 푸시를 발송해서 어플을 강제종료 시켜버림

15.   접속로그로는 어떤 api를 많이 사용하는지 알 수 없기 때문에 로그를 디테일하게 기록 사용하도록 변경함.(로그용량증가로 로그파일 관리 모듈이 필요해짐)