사용자의 권한을 제거했는데 이전에 받은 파일 링크는 여전히 열립니다. 다운로드 링크 발급 때만 권한을 확인하고 저장소의 서명 URL을 전달했다면 가능한 상황입니다. 계정 권한과 이미 발급된 링크의 효력은 같은 것이 아닙니다. 첨부파일 기능을 설계할 때는 누가 발급받는지뿐 아니라 발급 후 얼마나 오래, 몇 번 사용할 수 있는지도 정해야 합니다.
서명 URL은 전달 가능한 접근 수단이다
서명 URL은 요청에 필요한 서명과 만료 조건을 주소에 담아 특정 작업을 허용합니다. 일반적인 사용 방식에서는 주소를 가진 사람이 유효기간 안에 사용할 수 있습니다. 발급받은 사용자만 브라우저에서 열 수 있는 링크라고 자동으로 가정해서는 안 됩니다.
링크가 메시지나 브라우저 기록, 프록시 로그에 남으면 다른 경로로 전달될 수 있습니다. 그래서 서명 쿼리를 일반 분석 로그에 그대로 적재하지 않고 접근 가능한 대상을 제한합니다. 화면에서 주소를 숨겼다는 사실은 보안 경계를 만들지 않습니다.
발급 시점에 실제 파일 권한을 확인한다
파일 식별자를 받아 서명만 만들어 주는 API는 위험합니다. 로그인 여부뿐 아니라 사용자의 조직과 파일 소유 조직, 문서 공개 범위, 작업 상태를 확인해야 합니다. 클라이언트가 보낸 저장소 키를 신뢰해 임의 객체의 링크를 발급하지 않습니다.
가능하면 짧고 목적에 맞는 유효기간을 선택하고 다운로드할 객체 및 허용 동작을 제한합니다. 유효기간이 짧아도 유출된 동안의 접근을 막는 것은 아니므로 파일 민감도와 사용자 이용 패턴에 맞춰 판단합니다. 서버 시계와 임시 자격 증명의 수명도 고려합니다.
만료와 회수, 일회용은 서로 다르다
만료는 정해진 시간이 지나면 새 요청을 허용하지 않는 조건입니다. 회수는 아직 시간이 남았어도 접근을 중단하는 요구입니다. 일회용은 첫 사용 이후 재사용을 막는 조건입니다. 만료 시각만 있는 서명 URL이 세 가지를 모두 충족한다고 볼 수 없습니다.
저장소의 자격 증명과 정책 변경으로 효력을 제한할 수 있는 경우도 있지만 범위와 동작은 제품에 따라 다릅니다. 특정 링크 하나만 즉시 회수하려면 별도 상태와 검증 경로가 필요할 수 있습니다. 사용자 소속 해제만으로 기존 저장소 링크가 자동 무효화되지는 않습니다.
민감도에 따라 전달 경로를 선택한다
일반 자료는 발급 시 권한을 확인하고 짧은 서명 URL을 제공하는 방식이 적합할 수 있습니다. 즉시 권한 회수가 중요한 자료는 다운로드 요청마다 현재 권한을 검사하는 애플리케이션 경유 방식을 검토합니다. 이 경우 서버 대역폭과 스트리밍 처리 비용도 고려합니다.
일회용 토큰을 쓰려면 토큰의 저장·소비를 원자적으로 처리하고 실패한 다운로드를 어떻게 재시도할지 정합니다. 단순히 클릭한 순간 소모하면 네트워크 오류 때 정상 사용자가 파일을 받지 못할 수 있습니다. 요구되는 보장과 사용성을 함께 설계해야 합니다.
가상 사례: 협력사 계약 종료 뒤의 첨부파일
협력사의 계정 권한을 종료했지만 전날 발급한 링크가 남아 있다고 가정해 봅시다. 발급 시 검사만 하는 구조라면 링크의 남은 수명 동안 접근이 가능할 수 있습니다. 이는 권한 화면의 상태와 실제 파일 접근이 다른 문제입니다.
정책상 즉시 차단이 필요하다면 사전에 그 요구를 지원하는 전달 경로를 선택해야 합니다. 이미 내려받은 파일은 링크를 만료해도 회수할 수 없습니다. 저장소 접근 통제와 다운로드 이후의 자료 관리 요구를 구분해 담당자에게 설명합니다.
다운로드 실패와 접근 기록도 설계한다
대용량 파일은 만료 직전에 전송이 시작되거나 중간에 재연결될 수 있습니다. 진행 중 전송과 새 요청의 처리 방식은 저장소 문서에 따라 확인해야 합니다. 만료 오류와 권한 거부, 파일 삭제를 구분해 사용자가 재발급 등 적절한 다음 행동을 할 수 있게 합니다.
감사 기록에는 링크 원문 대신 요청자, 파일 ID, 발급 시각과 만료 조건, 결과를 남깁니다. 권한 변경 후 접근, 링크 재사용, 다른 조직 파일 요청을 테스트합니다. 안전한 다운로드는 주소를 생성하는 기능이 아니라 파일 접근의 수명을 관리하는 기능입니다.
실무 체크리스트
- 링크 발급 시 사용자와 파일의 접근 관계를 검사하는가
- 만료·즉시 회수·일회용 중 필요한 보장을 구분했는가
- 서명 정보가 로그에 노출되지 않으며 재시도 정책이 있는가
참고 자료: Amazon S3 presigned URL 공식 문서. 공식 문서는 S3 서명 URL의 사용·만료·자격 증명 관련 동작을 설명합니다. 다른 저장소에는 별도 제한이 있을 수 있으며 애플리케이션 경유나 일회용 처리는 추가 설계입니다.
본문 이미지는 이해를 돕기 위해 생성한 개념 삽화이며 실제 측정 자료나 고객 현장 사진이 아닙니다.
#서명URL #파일다운로드 #클라우드보안 #S3 #접근제어 #권한회수 #첨부파일 #SaaS보안 #데이터보호 #백엔드설계
