3장: Deno의 보안 모델 - 권한 기반 실행

# Node.js: 모든 권한이 기본 허용
node server.js
 
# Deno: 필요한 권한만 명시적으로 부여
deno run --allow-net=0.0.0.0:8080 --allow-read=./public server.ts

--allow-read[=<경로>...]     파일 시스템 읽기
--allow-write[=<경로>...]    파일 시스템 쓰기
--allow-net[=<호스트:포트>...]  네트워크 접근
--allow-env[=<변수명>...]    환경 변수 읽기
--allow-run[=<프로그램>...]   하위 프로세스 실행
--allow-ffi                  외부 함수 인터페이스 (동적 라이브러리)
--allow-sys[=<API>...]       시스템 정보 접근
--allow-all (또는 -A)        모든 권한 허용

// --allow-read=./data,./config 로 실행한 경우
 
// 허용: ./data 디렉토리 내 파일 읽기
const data = await Deno.readTextFile("./data/users.json");
 
// 허용: ./config 디렉토리 내 파일 읽기
const config = await Deno.readTextFile("./config/app.toml");
 
// 거부: 다른 경로 접근 시 PermissionDenied 에러
try {
  await Deno.readTextFile("/etc/passwd");
} catch (e) {
  // Deno.errors.PermissionDenied: Requires read access to "/etc/passwd"
  console.error(e.message);
}

# 특정 호스트만 허용
deno run --allow-net=api.example.com script.ts
 
# 특정 호스트의 특정 포트만 허용
deno run --allow-net=api.example.com:443 script.ts
 
# 여러 호스트 허용
deno run --allow-net=api.example.com,cdn.example.com script.ts
 
# 로컬 서버 바인딩만 허용
deno run --allow-net=0.0.0.0:8080 server.ts

// --allow-env=DATABASE_URL,API_KEY 로 실행
 
// 허용
const dbUrl = Deno.env.get("DATABASE_URL");
const apiKey = Deno.env.get("API_KEY");
 
// 거부: 허용되지 않은 환경 변수
const secret = Deno.env.get("AWS_SECRET_KEY"); // PermissionDenied

# 특정 프로그램만 실행 허용
deno run --allow-run=git,deno script.ts
 
# 실행이 허용된 명령만 사용 가능
const cmd = new Deno.Command("git", {
  args: ["status"]
});
const output = await cmd.output(); // 허용
 
const dangerous = new Deno.Command("rm", {
  args: ["-rf", "/"]
});
// PermissionDenied: Requires run access to "rm"

// 런타임에 권한 상태 확인
const status = await Deno.permissions.query({
  name: "read",
  path: "./data.json",
});
 
if (status.state === "prompt") {
  // 사용자에게 권한 요청 (터미널에 프롬프트 표시)
  const granted = await Deno.permissions.request({
    name: "read",
    path: "./data.json",
  });
 
  if (granted.state === "granted") {
    const data = await Deno.readTextFile("./data.json");
    console.log(data);
  }
}

// 설정 파일을 읽은 후 읽기 권한 취소
const config = await Deno.readTextFile("./config.json");
 
// 이후 파일 읽기가 필요 없으므로 권한 취소
await Deno.permissions.revoke({ name: "read" });
 
// 이후 파일 읽기 시도 시 PermissionDenied

event-stream 사건 (2018)
  - 인기 패키지의 관리 권한 탈취
  - 특정 비트코인 지갑 앱을 노리는 악성 코드 삽입
  - 수백만 다운로드에 영향
 
ua-parser-js 사건 (2021)
  - 주간 800만 다운로드 패키지
  - 크립토마이너와 패스워드 스틸러 삽입
  - npm 계정 탈취를 통한 공격
 
colors/faker 사건 (2022)
  - 패키지 관리자의 의도적 파괴
  - 무한 루프 코드 삽입
  - 수많은 의존성 체인에 영향

# Node.js 20+에서 실험적으로 사용 가능
node --experimental-permission --allow-fs-read=./data server.js

{
  "tasks": {
    "dev": "deno run --watch --allow-net=0.0.0.0:3000,api.example.com --allow-read=./src,./public --allow-env=DATABASE_URL,PORT src/main.ts",
    "test": "deno test --allow-read=./src,./test-fixtures --allow-net=none",
    "lint": "deno lint src/",
    "build": "deno compile --allow-net=0.0.0.0:3000 --allow-read=./public --output=app src/main.ts"
  }
}

# 웹 서버: 네트워크 리슨 + 정적 파일 읽기 + 필요한 환경 변수만
deno run \
  --allow-net=0.0.0.0:8080 \
  --allow-read=./public,./views \
  --allow-env=DATABASE_URL,JWT_SECRET,NODE_ENV \
  --no-prompt \
  src/server.ts

파일 시스템
  [ ] --allow-read에 구체적인 경로가 지정되어 있는가
  [ ] --allow-write에 구체적인 경로가 지정되어 있는가
  [ ] 불필요한 디렉토리가 포함되어 있지 않은가
 
네트워크
  [ ] --allow-net에 필요한 호스트만 지정되어 있는가
  [ ] 포트 번호까지 제한하고 있는가
  [ ] 외부 API 호출이 필요한 호스트만 허용하고 있는가
 
환경 변수
  [ ] --allow-env에 필요한 변수만 나열되어 있는가
  [ ] 민감한 변수(시크릿 키 등)가 불필요하게 노출되지 않는가
 
프로세스
  [ ] --allow-run이 정말 필요한가
  [ ] 실행 허용할 프로그램이 구체적으로 지정되어 있는가
 
기타
  [ ] --allow-all(-A)을 사용하고 있지 않은가
  [ ] --no-prompt가 CI/CD에서 활성화되어 있는가
  [ ] deno.lock을 통한 의존성 무결성 검증이 활성화되어 있는가

// --allow-net=api.example.com 설정 시
// 다음 두 요청 모두 허용됨
await fetch("https://api.example.com/public/data");  // 의도한 접근
await fetch("https://api.example.com/admin/delete");  // 의도하지 않은 접근도 허용
 
// 경로 단위 제어는 애플리케이션 레벨에서 구현해야 함