ㄴㄴ 대칭키고 키 요청하는 URL은 JS로 박혀있는 거라 공개되어있고 URL에 요청하면 서버에서 평문으로 키를 전송함. 웹 브라우저로도 캡쳐 가능. 그리고 모든 사용자가 같은 키를 받고 이건 JS랑 키 보내는 쪽 코드는 있어서 PoC로 짜보고 테스트 한 결과라서 확실함.

일단 핵심 문제는 URL로 키 요청시 인증, 인가 과정이 없다는 점이랑 평문으로 키를 전송한다는 게 제일 문제인데 그냥 모든 사용자가 다 같은 암복호화 키를 쓰는 것도 문제가 아닌가 싶어서 지적하고 싶은데 딱히 지적할만한 근거가 없어서 찾고있을 뿐임.