[Security] A04: ID 생성 방식 개선 필요

[serithemage]

OWASP 카테고리

• A04:2025 - Cryptographic Failures

심각도

🟢 Low

현황

예측 가능한 ID 생성 방식 사용

발견된 문제

예측 가능한 ID

// backend/lambda/src/todoService.ts:38
id: Date.now().toString(),  // 타임스탬프 기반

문제점:

• 순차적/예측 가능한 ID
• 생성 시간 정보 노출
• IDOR (Insecure Direct Object Reference) 공격에 취약

양호한 부분

• DynamoDB: AWS 관리형 암호화 적용 ✅
• HTTPS: API Gateway 기본 적용 ✅

영향받는 파일

• backend/lambda/src/todoService.ts
• frontend/src/services/mockTodoService.ts

권장 조치

// UUID v4 사용
import { randomUUID } from 'crypto';

const todo: Todo = {
  id: randomUUID(),  // 예측 불가능한 ID
  ...input,
  // ...
};

또는 AWS SDK 사용:

import { v4 as uuidv4 } from 'uuid';
id: uuidv4(),

참고

• OWASP IDOR