SVG, 안전하게 사용하려면? CSP와 샌드박스 기술의 중요성!
by DD
2개월 전
조회수 30
Scratch 프로젝트에서 SVG 렌더링(Rendering) 관련 보안 취약점이 지속적으로 발견됨
CSP(Content Security Policy), iframe 기반 샌드박싱(Sandboxing) 등 다양한 해결책 제시
CSS nesting relaxed syntax와 같은 새로운 공격 벡터(Attack Vector) 등장
SVG의 복잡성으로 인해 새로운 이미지 형식(Image Format)의 필요성 제기
SVG Sanitization의 어려움
본문에서는 Scratch 프로젝트를 예시로, SVG(Scalable Vector Graphics)의 보안 취약점(Security Vulnerabilities) 문제를 다룬다. 특히, 사용자 입력 기반의 SVG를 처리하는 과정에서 XSS(Cross-Site Scripting) 공격에 노출될 수 있음을 지적한다. CSS nesting relaxed syntax와 같이 기존에 알려지지 않은 공격 벡터가 지속적으로 발견되면서, SVG sanitization의 어려움이 부각된다.
CSP와 iframe을 활용한 보안 강화
논의에서는 CSP(Content Security Policy)를 통해 HTTP 요청을 제어하고, iframe을 활용하여 SVG를 샌드박싱하는 방식을 제시한다. CSP는 특정 출처에서만 리소스를 로드하도록 제한하여 문제를 해결하고, 은 SVG가 메인 문서에 영향을 미치는 것을 방지한다. 이러한 접근 방식은 브라우저의 내장된 보안 기능을 활용하여 안전성을 확보하는 데 중점을 둔다.
