불충분한인증절차(Insufficient Authentication)

1

중요 정보(개인정보 변경 등) 페이지 접근 시 재인증 절차 존재 여부 확인

1

로직 변조, 파라미터 변조 등의 행위를 통하여 인증 로직(OTP 인증, 휴대폰 본인인증 등)의 우회 여부 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

// 재인증이 필요한 페이지 접근 전 검증
@GetMapping("/edit/profile")
public String editProfile(HttpSession session, Model model) {
    User user = (User) session.getAttribute("user");
    Boolean isVerified = (Boolean) session.getAttribute("isVerified");

    // 세션을 통해 인증 유무 검증
    if (user == null || isVerified == null || !isVerified) {
        return "redirect:/user/authenticate";
    }

    model.addAttribute("user", user);
    return "edit_profile";
}

// 재인증 처리
@PostMapping("/verify/code")
public String verifyCode(@RequestParam String code, HttpSession session) {
    if (isValidCode(code)) {
        session.setAttribute("isVerified", true);
        return "redirect:/user/edit/profile";
    } else {
        return "redirect:/user/authenticate?error=true";
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

// 인터셉터로 적용
public class AuthInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request,
                            HttpServletResponse response,
                            Object handler) throws Exception {
        HttpSession session = request.getSession();
        String uri = request.getRequestURI();

        // 중요 페이지 접근 시 재인증 확인
        if (uri.startsWith("/user/edit/")) {
            if (!AccessControl.isVerified(session)) {
                response.sendRedirect("/user/authenticate");
                return false;
            }
        }

        return true;
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

// 서버 사이드에서 인증 처리
@PostMapping("/login")
public String login(@RequestParam String username,
                    @RequestParam String password,
                    HttpSession session) {
    User user = userService.findByUsername(username);

    if (user != null && user.getPassword().equals(password)) {
        session.setAttribute("user", user);
        session.setAttribute("isVerified", false);  // 인증 세션 초기값 설정
        return "redirect:/user/dashboard";
    } else {
        return "login?error=true";
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

// 권한 어노테이션
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface RequirePermission {
    String value();
}

// AOP로 권한 검증
@Aspect
@Component
public class PermissionAspect {
    @Around("@annotation(requirePermission)")
    public Object checkPermission(ProceedingJoinPoint joinPoint,
                                  RequirePermission requirePermission) throws Throwable {
        HttpSession session = getCurrentSession();
        User user = (User) session.getAttribute("user");

        if (user == null || !user.hasPermission(requirePermission.value())) {
            throw new UnauthorizedException("권한이 없습니다.");
        }

        return joinPoint.proceed();
    }
}