서명 검증을 통한 멀티테넌트 인바운드 웹훅 보안

서명 검증을 통한 멀티테넌트 인바운드 웹훅 보안。

인바운드 검증의 아키텍처 개요

화이트라벨 CPaaS 플랫폼을 운영할 때 위조된 HTTP POST 요청으로부터 엔드포인트를 보호하는 것은 매우 중요합니다. 멀티테넌트 라우팅은 수신된 SMS 모바일 발신 페이로드가 잘못된 서브 계정을 타겟팅할 수 있는 복잡한 엣지 케이스를 발생시킵니다. 무단 주입을 방지하기 위해 당사의 게이트웨이는 원시 요청 본문과 해당 테넌트 고유의 시크릿 솔트를 결합하여 계산된 HMAC-SHA256 서명을 사용하여 모든 웹훅 디스패치에 서명합니다. 플랫폼 인제스션 워커는 비즈니스 로직을 처리하거나 E.164 본문 문자열을 파싱하기 전에 로컬에서 이 암호화 해시를 계산하고 수신된 HTTP 헤더와 비교해야 합니다.

암호화 헤더 검사 및 시크릿 관리

모든 인바운드 전달에는 암호화 다이제스트와 시간 기록 타임스탬프를 포함하는 특수 인증 헤더가 포함됩니다. 인제스션 파이프라인은 이 토큰을 추출하고 재생 공격을 방지하기 위해 요청 연령이 일반적으로 5분인 엄격한 허용 오차 창 내에 있는지 확인해야 합니다. 시크릿은 테넌트가 플랫폼 API를 통해 JIT 프로비저닝을 완료할 때 동적으로 프로비저닝됩니다. 당사는 엄격한 선불 모델을 유지하므로 활성 잔액이 필수로 요구되며, USD 20 선불 한도 아래로 떨어지는 계정은 자동 신용 카드 레일 또는 원장 충전을 통해 자금이 보충될 때까지 자동 전달 중단이 트리거됩니다.

페이로드 파싱 및 E.164 정규화 처리

서명 검증이 성공하면 워커는 JSON 페이로드를 파싱하여 발신자 번호, 대상 라우팅 토큰 및 메시지 텍스트를 추출합니다. 모든 번호는 처리 큐에 들어가기 전에 엄격한 E.164 정규화를 거칩니다. 테넌트가 소비 측면에서 월 USD 1,000의 안정적인 속도에 접근하는 대용량 캠페인을 처리하는 경우, 당사 시스템은 월 USD 1,000 부근에서 트래픽 적법성을 검증하고 라우팅 매개변수를 최적화하기 위해 소프트 검토를 시작합니다. 이 단계에서 텔레메트리 대시보드는 웹훅 대기 시간, HTTP 200 승인율, 서명 실패 빈도를 실시간으로 추적합니다.

재생 공격 및 클럭 드리프트 완화

네트워크 지연 및 사소한 서버 시계 불일치는 올바르게 관리되지 않을 경우 검증 마찰을 유발할 수 있습니다. 슬라이딩 넌스 캐시를 구현하면 동일한 웹훅 서명이 악의적으로 재전송되지 않도록 보장할 수 있습니다. 일시적인 데이터베이스 잠금으로 인해 인제스션 엔드포인트가 비-2xx 상태 코드를 반환하는 경우, 플랫폼은 보안 재시도를 큐에 대기시킵니다. 업스트림 통신사 우회에 의존하지 않고 서브 계정 청구 원장 내에서 중복 DLR 생성 또는 이중 청구 시나리오를 방지하려면 워커가 이러한 재시도를 멱등성 있게 처리하도록 보장하는 것이 중요합니다.

실패한 서명 및 원장 감사 트러블슈팅

웹훅 서명 검증이 실패한 경우 근본 원인을 격리하려면 원시 HTTP 헤더를 검사하고 중간 리버스 프록시가 요청 본문 공백을 제거하거나 수정하고 있지 않은지 확인해야 합니다. 시스템 관리자는 플랫폼 감사 로그 내에서 실패한 전달 시도를 교차 참조할 수 있습니다. 상세한 이벤트 기록을 내보내려면 인바운드 웹훅 재시도, 두 번째 인바운드 번호: 대화 스레드 혼선 없는 받은편지함 핸드오버, 감사 로그 보관: 바이어가 내보내고 증명할 수 있는 항목 등의 가이드를 참조하세요.

IOSOR로 시작하기

테넌트 B 비밀로 서명한 인바운드 사건을 테넌트 A 끝점에 POST 한다. 검사는 거절해야 한다. 한 테넌트 비밀을 돌리고 그 테넌트 webhook 만 실패함을 증명한다. 서명 실패와 테넌트 id 를 내보낸다. 이는 테넌트별 HMAC 이지, STOP 목록 격리나 재전송 창 차변이 아니다.

IOSOR 핵심 요약

웹훅 주소 하나가 비밀 하나가 아니다.

할 일: DID 를 가진 테넌트에 대해 HMAC 를 검증한다. 하지 말 일: 하위 계정에 서명 키 하나를 나누거나, 미서명 MO 를 내부로 받지 마라.