AJAX 데이터 평문전송 암호화하기 (RSA 암호화)

RSA 암호화

RSA 암호는 공개기 암호시스템의 하나로 암호화뿐 아니라 전자서명이 가능한 최초의 알고리즘으로 알려져 있습니다.

RSA가 갖는 전자서명 기능은 인증을 요구하는 전자 상거래 등에 RSA의 광범위한 활용을 가능하게 하였습니다.

암호화 방식

RSA는 두개의 키 ( 공개키, 개인키 ) 를 사용합니다.

키란 메세지를 열고 잠그는 상수(constant)를 의미하며 일반적으로 많은 공개키 알고리즘의 공개키는 모두에게 알려져 있고 메세지를 암호화(encrypt) 하는데 쓰이며, 암호화된 메세지는 개인키(private key)를 가진 자만이 복호화(decrypt)하여 열어볼 수 있습니다.

RSA 암호화의 개요, 증명, 예시 등 자세한 내용은 RSA 암호 위키백과 에 자세히 나와 있습니다.

한번 살펴보시길 바래요!

사용하게된 이유

필요한 자원을 얻기 위해서 ajax를 사용하고 갱신을 위해 form submit을 통한 데이터 전송을 합니다.

https SSL 을 활용하여 데이터를 암호화해 전송하는 방법도 있지만 개발자도구, fiddler 에서 확인하면 데이터의 값이 그대로 노출되어 보안에 취약합니다.

로그인하는 과정에서 ID, PW 정보가 노출된다면 보안에 취약할 수 밖에 없습니다.

사용방법

1. 서버에서부터 암호화 할 공개키를 세션에 담아 클라이언트에 제공하고 공개키로 데이터를 암호화 후 서버로 전송합니다.

2. 클라이언트에서 받은 암호화된 데이터를 서버에서 개인키로 복호화합니다.

* 웹페이지를 호출할 때 마다 RSAModulus (키값) 이 변경되어 클라이언트에 전송되기 때문에 클라이언트에 전송되는 키값은 매번 변경됩니다.

사용예시 소스

1. Rsa.java 파일

public class Rsa {
    public static final String RSA_WEB_KEY = "_RSA_WEBKEY_"; // 개인키 session key
    public static final String RSA_INSTANCE = "RSA"; // rsa transformation
    
	
    /**
     * rsa 공개키, 개인키 생성
     * @param request
     */
    public static void initRsa(HttpServletRequest request) {
        HttpSession session = request.getSession();
 
        KeyPairGenerator generator;
        try {
            generator = KeyPairGenerator.getInstance(RSA_INSTANCE);
            generator.initialize(1024);
 
            KeyPair keyPair = generator.genKeyPair();
            KeyFactory keyFactory = KeyFactory.getInstance(RSA_INSTANCE);
            PublicKey publicKey = keyPair.getPublic();
            PrivateKey privateKey = keyPair.getPrivate();
 
            session.setAttribute(RSA_WEB_KEY, privateKey); // session에 RSA 개인키를 세션에 저장
 
            RSAPublicKeySpec publicSpec = (RSAPublicKeySpec) keyFactory.getKeySpec(publicKey, RSAPublicKeySpec.class);
            String publicKeyModulus = publicSpec.getModulus().toString(16);
            String publicKeyExponent = publicSpec.getPublicExponent().toString(16);
 
            request.setAttribute("RSAModulus", publicKeyModulus); // rsa modulus 를 request 에 추가
            request.setAttribute("RSAExponent", publicKeyExponent); // rsa exponent 를 request 에 추가
        } catch (Exception e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
    }
    
    /**
     * 복호화
     * 
     * @param privateKey
     * @param securedValue
     * @return
     * @throws Exception
     */
    public static String decryptRsa(PrivateKey privateKey, String securedValue) throws Exception {
        Cipher cipher = Cipher.getInstance(RSA_INSTANCE);
        byte[] encryptedBytes = hexToByteArray(securedValue);
        cipher.init(Cipher.DECRYPT_MODE, privateKey);
        byte[] decryptedBytes = cipher.doFinal(encryptedBytes);
        String decryptedValue = new String(decryptedBytes, "utf-8"); // 문자 인코딩 주의.
        return decryptedValue;
    }
    
    /**
     * 16진 문자열을 byte 배열로 변환한다.
     * 
     * @param hex
     * @return
     */
    public static byte[] hexToByteArray(String hex) {
        if (hex == null || hex.length() % 2 != 0) { return new byte[] {}; }
 
        byte[] bytes = new byte[hex.length() / 2];
        for (int i = 0; i < hex.length(); i += 2) {
            byte value = (byte) Integer.parseInt(hex.substring(i, i + 2), 16);
            bytes[(int) Math.floor(i / 2)] = value;
        }
        return bytes;
    }
}

2. script ajax 호출

* RSAModules와 RSAExponent 변수는 hidden 값으로 사용했습니다.

var form = $('[name=form]').serializeObject();
var rsa = new RSAKey();
rsa.setPublic($('#RSAModulus').val(), $('#RSAExponent').val());
form.userId = rsa.encrypt(form.userId);
form.userPwd = rsa.encrypt(form.userPwd);
$.ajax({
	data: form,
	type: "POST",
	url: "/doLogin",
        sendDataType : "json",
	dataType : 'json',
	success: function(res) {
		...
	}
});