계: Encapsulation

캡슐화는 강력한 경계를 그리는 것입니다. 웹 브라우저에서는 사용자의 모바일 코드가 다른 모바일 코드에 의해 오용되지 않도록 하는 것을 의미합니다. 서버에서는 검증된 데이터와 검증되지 않은 데이터, 한 사용자의 데이터와 다른 사용자의 데이터, 데이터 사용자가 볼 수 있는 데이터와 볼 수 없는 데이터 간의 차별화를 의미할 수 있습니다.

GraphQL Bad Practices: Introspection Enabled

Abstract

스키마 확인이 비활성화되지 않은 상태로 GraphQL 끝점이 생성됩니다.

Explanation

GraphQL 스키마 확인 기능을 사용하면 누구나 GraphQL 서버에서 현재 스키마에 대한 정보를 쿼리할 수 있습니다. 이해 당사자는 GraphQL 스키마 확인 쿼리를 실행하여 스키마의 사용 가능한 작업, 데이터 형식, 필드 및 문서에 대한 전체 보기를 검색할 수 있습니다.

GraphQL 스키마 확인은 GraphQL API에 대한 정보를 개발하고 공유하는 맥락에서 중요한 유틸리티를 제공합니다. 스키마 확인은 다양한 도구와의 원활한 통합을 촉진할 수 있는 강력한 GraphQL 기능입니다. 예를 들어 IDE는 스키마 확인을 활용하여 GraphQL API 개발 및 테스트를 위한 향상된 기능을 제공할 수 있습니다.

그러나 프로덕션 환경에서 누구나 GraphQL 스키마를 쿼리할 수 있도록 허용하면 전반적인 보안 태세에 위험을 초래할 수 있습니다. 공격자는 스키마 확인을 통해 GraphQL 스키마에서 구현 세부 정보를 얻어 보다 표적화된 공격을 수행할 수 있습니다. GraphQL 스키마는 내부적으로 사용되는 필드, 설명, 공개 사용을 목적으로 하지 않을 수 있는 지원 중단 메모와 같은 정보를 누출할 수 있습니다.

예제 1: 다음 코드는 스키마 확인이 기본적으로 활성화된 상태로 Hot Chocolate GraphQL 끝점을 초기화합니다.


    services
        .AddGraphQLServer()
        .AddQueryType<Query>()
        .AddMutationType<Mutation>();

References

[1] OWASP OWASP Cheat Sheet Series: GraphQL Cheat Sheet

[2] Standards Mapping - CIS Azure Kubernetes Service Benchmark 2

[3] Standards Mapping - CIS Microsoft Azure Foundations Benchmark partial

[4] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 5

[5] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[6] Standards Mapping - CIS Google Kubernetes Engine Benchmark normal

[7] Standards Mapping - CIS Kubernetes Benchmark partial

[8] Standards Mapping - Common Weakness Enumeration CWE ID 94

[9] Standards Mapping - Common Weakness Enumeration Top 25 2019 [18] CWE ID 094

[10] Standards Mapping - Common Weakness Enumeration Top 25 2020 [17] CWE ID 094

[11] Standards Mapping - Common Weakness Enumeration Top 25 2022 [25] CWE ID 094

[12] Standards Mapping - Common Weakness Enumeration Top 25 2023 [23] CWE ID 094

[13] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001167

[14] Standards Mapping - FIPS200 CM

[15] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[16] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-18 Mobile Code (P2)

[17] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-18 Mobile Code

[18] Standards Mapping - OWASP Top 10 2004 A10 Insecure Configuration Management

[19] Standards Mapping - OWASP Top 10 2010 A6 Security Misconfiguration

[20] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[21] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[22] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

[23] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[24] Standards Mapping - OWASP Application Security Verification Standard 4.0 5.2.5 Sanitization and Sandboxing Requirements (L1 L2 L3), 5.2.8 Sanitization and Sandboxing Requirements (L1 L2 L3), 5.3.6 Output Encoding and Injection Prevention Requirements (L1 L2 L3)

[25] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[26] Standards Mapping - OWASP Mobile 2024 M8 Security Misconfiguration

[27] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.10

[28] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.8

[29] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.8

[30] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.8

[31] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.8

[32] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[33] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 5.4 - Authentication and Access Control

[34] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 5.4 - Authentication and Access Control

[35] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 5.4 - Authentication and Access Control, Control Objective C.2.3 - Web Software Access Controls

[36] Standards Mapping - SANS Top 25 2009 Risky Resource Management - CWE ID 094

[37] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3600 CAT II

[38] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3600 CAT II

[39] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3600 CAT II

[40] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3600 CAT II

[41] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3600 CAT II

[42] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3600 CAT II

[43] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3600 CAT II

[44] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-003300 CAT II

[45] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-003300 CAT II

[46] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-003300 CAT II

[47] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-003300 CAT II

[48] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-003300 CAT II

[49] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-003300 CAT II

[50] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-003300 CAT II

[51] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-003300 CAT II

[52] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-003300 CAT II

[53] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-003300 CAT II

[54] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-003300 CAT II

[55] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-003300 CAT II

[56] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-003300 CAT II

[57] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-003300 CAT II

[58] Standards Mapping - Web Application Security Consortium Version 2.00 Application Misconfiguration (WASC-15)

desc.structural.dotnet.graphql_bad_practices_introspection_enabled

Abstract

스키마 확인이 비활성화되지 않은 상태로 GraphQL 끝점이 생성됩니다.

Explanation


app.use('/graphql', graphqlHTTP({
    schema
}));