인증과 접근통제

인증의 4가지 유형:

1. Something you know Ex) password, 주민등록번호  
2. Something you have Ex) key, passport, OTP
3. Something you are Ex) Iris, fingerprint
4. Somewhere you are Ex) IP address

인증 취약점:

1. Vulnerability on password setting
2. Password recovery vulnerability - ex) 비밀번호 찾기 과정에 너무 쉬운 질문을 넣은 경우

3가지 접근통제 기술:

1. Vertical access control
   Vertical access control에서는 특정 정보에 대한 접근 권한이 수준별로 상이하게 설계되어 있다.
   예를 들어 일반 사용자와 관리자의 차이가 있다. 일반 사용자가 접근 할 수 있는 정보와 관리자가 접근 할 수 있는 정보에 대해 다른 접근 권한을 부여한다.
2. Horizontal access control
   Horizontal access control에서는 웹 어플리케이션 내에 여러 사용자가 존재할 때 상대방의 정보를 볼 수 없도록 통제하는 것을 의미한다.
   예를 들어 이메일이 있다. 각 사용자가 가진 권한의 차이는 없지만 서로의 고유 정보에 대해서는 접근이 불가능하다.
3. Business logic access control
   Vertical access control과 Horizontal access control과는 다르게, Business logic access control은 사용자 권한에 종속되지 않고, 민감하거나 중요한 자원에 대한 접근과 관련된 것이다. (Related to access to sensitive or important resources)
   예를 들어 사용자가 관리자 권한을 전부 획득하지 못하였더라도 관리자만 접근 할 수 있는 메뉴에 접근할 수 있는 경우다. Ex. 중요한 설정파일이 노출된 경우