MDN 웹 보안 문서가 대규모로 업데이트된 이유
2025년 9월, Sovereign Tech Agency의 투자를 받아 Open Web Docs가 착수한 웹 보안·프라이버시 문서화 프로젝트가 마침내 핵심 결과물을 내놓았다. MDN Web Docs의 웹 보안 섹션이 전면 재정비된 것으로, 단순한 개념 설명을 넘어 실무 개발자가 바로 적용할 수 있는 수준의 가이드를 목표로 작성됐다. 4년 이상의 경력을 가진 백엔드 개발자라면 이미 XSS나 CSRF를 알고 있겠지만, 이번 문서 개편이 특히 주목할 만한 이유는 공격·방어·위협 모델링을 하나의 체계로 연결했다는 점에 있다.
네 가지 축으로 구성된 보안 문서 체계
이번 MDN 보안 문서는 Attacks, Defenses, Threat Modeling, Authentication 네 가지 축으로 구성된다.
Attacks 섹션은 각 공격 유형별로 독립된 아티클을 제공한다. 다루는 항목은 다음과 같다.
- Clickjacking, CSRF, XSS 등 익숙한 웹 공격
- Cross-site leaks, Prototype pollution, SSRF처럼 상대적으로 덜 알려진 공격 벡터
- Subdomain takeover, Supply chain attacks 등 인프라·공급망 위협
각 공격 아티클은 어떤 조건에서 취약점이 발생하는지, 어떤 방어책이 있는지, 그 중 무엇을 우선 적용해야 하는지를 명확히 서술한다. 이는 기존 MDN 문서가 개념 위주였던 것과 달리 의사결정 흐름까지 포함한다는 차이가 있다.
Defenses 섹션은 CSP, TLS, Subresource Integrity, Same-origin policy 등 플랫폼 수준의 방어 메커니즘을 다룬다. 여기서 강조할 점은 공격과 방어가 다대다(many-to-many) 관계라는 것이다. 예를 들어 CSP 하나가 XSS와 Mixed content 공격 모두를 억제할 수 있고, XSS를 완전히 방어하려면 CSP 외에도 Input validation, Secure contexts 등 여러 방어책이 중첩되어야 한다(Defense in Depth).
위협 모델링이 실무에서 중요한 이유
Threat Modeling 섹션은 이번 문서에서 가장 실용적인 부분이다. 어떤 방어책을 도입할지 결정하기 전에 내 시스템이 어떤 위협에 노출되어 있는지를 먼저 파악하는 과정이 선행되어야 한다. 이를 건너뛰면 보안 투자가 실제 위협과 어긋나게 된다.
예를 들어 내부 관리자 전용 어드민 페이지라면 Clickjacking 방어보다 인증 강화가 훨씬 중요하다. 반면 외부 사용자가 콘텐츠를 업로드하는 서비스라면 XSS와 SSRF 방어가 최우선이 된다. 위협 모델링 문서는 이러한 우선순위 결정 프레임워크를 제공한다.
위협 모델링 기본 흐름:
1. 자산(Asset) 식별 — 무엇을 보호할 것인가
2. 위협 열거 — 어떤 공격이 가능한가
3. 취약점 평가 — 현재 어디가 약한가
4. 방어책 매핑 — 어떤 Defenses가 필요한가
5. 우선순위 결정 — 리소스 제약 내에서 무엇부터
백엔드 개발자가 보안 요구사항을 정의하거나 보안 리뷰에 참여할 때, 이 흐름을 참조 모델로 활용하면 논의가 구조화된다.
정리
- MDN 웹 보안 문서가 Attacks / Defenses / Threat Modeling / Authentication 네 축으로 재편되어 실무 적용 관점의 가이드를 제공한다.
- 공격과 방어는 다대다 관계이므로, 단일 방어책보다 Defense in Depth 접근이 필요하다.
- 위협 모델링을 선행하지 않으면 보안 투자가 실제 위협과 어긋날 수 있으므로, 설계 단계부터 위협 식별을 포함하는 것이 중요하다.