클라이밍하는 개발자

JWT란 무엇인가?

JWT는 JSON Web Token의 약자로, JSON 형태의 데이터를 네트워크를 통해 안전하게 전송하기 위해 설계된 방식입니다. JWT는 마치 편지와 같은 구조를 가지고 있습니다:

• 봉투 (Header): 토큰의 타입과 사용된 알고리즘 정보
• 편지지 (Payload): 실제 전달하려는 데이터 (Claims)
• 서명 (Signature): 토큰의 유효성을 검증하기 위한 서명

JWT의 구조

JWT는 세 부분으로 구성되며, 각 부분은 Base64로 인코딩되어 점(.)으로 구분됩니다:

header.payload.signature

JWT의 핵심: 서명(Signature)

서명은 JWT의 무결성을 보장하는 핵심 요소입니다. 서명 과정은 다음과 같습니다:

• 비밀키(Secret Key)를 사용
• 헤더와 페이로드를 입력으로 사용
• 지정된 알고리즘(예: HMAC)으로 서명 생성

JWT의 활용 분야

JWT는 다양한 분야에서 활용되지만, 가장 흔한 용도는 인증(Authentication)입니다. 주요 활용 분야는 다음과 같습니다:

• 인증
• 정보 공유
• 권한 부여
• 단일 로그인(SSO)
• 서버 간 통신

JWT 기반 인증 과정

로그인

• 사용자가 로그인 정보 제공
• 서버가 정보 확인 후 JWT 생성 및 클라이언트에 전송

인증

• 클라이언트가 JWT를 서버에 전송
• 서버가 JWT를 검증
• 검증 성공 시 요청 처리

JWT의 장점

• 서버 부하 감소: 세션 저장소가 필요 없음
• 확장성: 다중 서버 환경에서 유리
• 클라이언트 측 저장: 필요한 정보를 페이로드에 포함 가능

JWT의 단점

1. 토큰 크기: JWT는 모든 정보를 자체적으로 포함하므로, 토큰 크기가 상대적으로 클 수 있습니다. 이는 네트워크 대역폭 사용량을 증가시킬 수 있습니다.
2. 보안 위험: 토큰 탈취: JWT가 탈취되면, 만료되기 전까지 공격자가 사용할 수 있습니다.
3. 토큰 무효화의 어려움: 일단 발급된 JWT는 만료 전까지 유효하며, 개별 토큰을 즉시 무효화하기 어렵습니다. 이는 보안 문제 발생 시 대응을 어렵게 만들 수 있습니다.
4. 갱신 로직의 복잡성: 토큰 만료 관리와 갱신 프로세스가 복잡할 수 있습니다.
5. 상태 저장의 한계: JWT는 기본적으로 무상태(stateless)이므로, 사용자 상태 변경을 실시간으로 반영하기 어려울 수 있습니다.
6. 암호화 부재: 기본 JWT는 서명은 되지만 암호화되지 않아, 중요한 정보는 페이로드에 포함시키지 말아야 합니다.
7. 구현의 복잡성: 올바른 JWT 구현과 관리는 복잡할 수 있으며, 잘못 구현 시 보안 취약점이 발생할 수 있습니다.
8. 만료 시간 설정의 딜레마: 짧은 만료 시간은 보안에 유리하지만 사용자 경험을 해칠 수 있고, 긴 만료 시간은 그 반대입니다.

JWT 실습

JWT.io 사이트를 통해 JWT를 직접 생성하고 검증해볼 수 있습니다. 이를 통해 JWT의 구조와 작동 방식을 실제로 확인할 수 있습니다.

결론

JWT는 현대 웹 애플리케이션에서 인증과 정보 교환을 위한 효율적이고 안전한 방법을 제공합니다. 그러나 보안을 위해 적절한 사용과 관리가 필요합니다. JWT의 이해는 웹 개발자에게 필수적인 지식이 되어가고 있습니다.

출처

https://www.youtube.com/watch?v=36lpDzQzVXs

OAuth 2.0이란?

OAuth 2.0은 서로 다른 서비스 간에 안전하게 인증과 권한 부여를 할 수 있게 해주는 표준 프로토콜입니다. 이를 통해 사용자의 민감한 정보를 직접 공유하지 않고도 다른 서비스의 기능을 이용할 수 있습니다.

OAuth 2.0이 필요한 이유

예를 들어, '우아한 캘린더'라는 서비스를 만들었다고 가정해봅시다. 이 서비스는 구글 캘린더와 연동하여 일정을 관리하려고 합니다. OAuth 2.0 없이는 다음과 같은 문제가 발생할 수 있습니다

• 사용자의 구글 아이디와 비밀번호를 직접 받아야 함
• 보안 위험 증가
• 불필요한 접근 권한 발생

OAuth 2.0을 사용하면 이러한 문제를 해결할 수 있습니다.

OAuth 2.0의 주요 개념

• Resource Owner: 사용자
• Client: 우리가 만든 서비스 (예: 우아한 캘린더)
• Authorization Server: 인증을 담당하는 서버 (예: 구글)
• Resource Server: 실제 데이터를 제공하는 서버 (예: 구글 캘린더)

OAuth 2.0의 동작 과정

1. 사용자가 우아한 캘린더에서 "구글 로그인" 버튼 클릭
2. 구글의 로그인 페이지로 리다이렉트
3. 사용자가 구글에 직접 로그인
4. 구글이 우아한 캘린더에 권한 코드 전달
5. 우아한 캘린더가 권한 코드로 액세스 토큰 요청
6. 구글이 액세스 토큰 발급
7. 우아한 캘린더가 액세스 토큰으로 구글 캘린더 데이터 접근

OAuth 2.0의 장점

• 보안 강화: 사용자의 비밀번호를 직접 다루지 않음
• 권한 제한: 필요한 기능에만 접근 가능
• 사용자 경험 개선: 별도의 회원가입 없이 기존 계정으로 로그인 가능

OAuth 2.0 구현 시 주의사항

• HTTPS 사용 필수
• 클라이언트 ID와 시크릿 안전하게 보관
• Redirect URI 정확히 설정

소셜 로그인과 OAuth 2.0

OAuth 2.0은 주로 소셜 로그인 구현에 사용됩니다. 하지만 OAuth 2.0은 인가(Authorization)를 위한 프로토콜이며, 인증(Authentication)을 위해서는 OpenID Connect라는 추가적인 레이어가 사용됩니다.

결론: OAuth 2.0은 현대 웹 서비스에서 필수적인 보안 프로토콜입니다. 이를 통해 사용자의 정보를 안전하게 보호하면서도 다양한 서비스 간의 연동을 가능하게 합니다. 개발자로서 OAuth 2.0의 개념과 흐름을 이해하는 것은 매우 중요합니다.

출처

https://www.youtube.com/watch?v=Mh3LaHmA21I

1.JWT (JSON Web Token)란?

JWT는 당사자 간에 정보를 JSON 객체로 안전하게 전송하기 위한 컴팩트하고 독립적인 방식을 정의하는 개방형 표준입니다.

주요 특징:

• 구조: Header, Payload, Signature 세 부분으로 구성
• 사용 사례: 인증 및 정보 교환
• 장점: 상태를 저장할 필요가 없어 서버 부하 감소

JWT 작동 방식:

1. 사용자 로그인
2. 서버가 JWT 생성 및 클라이언트에 전송
3. 클라이언트가 후속 요청에 JWT 포함
4. 서버가 JWT 검증 후 요청 처리

2. OAuth란?

OAuth는 사용자 데이터에 대한 접근 권한을 제3자 애플리케이션에 부여할 수 있게 하는 개방형 표준 프로토콜입니다.

주요 특징

• 버전: OAuth 1.0과 OAuth 2.0 (더 널리 사용됨)
• 목적: 안전한 위임 접근
• 역할: Resource Owner, Client, Authorization Server, Resource Server

OAuth 2.0 승인 흐름

1. 클라이언트가 리소스 소유자에게 권한 요청
2. 리소스 소유자가 승인 부여
3. 클라이언트가 인증 서버에 액세스 토큰 요청
4. 인증 서버가 액세스 토큰 발급
5. 클라이언트가 액세스 토큰으로 보호된 리소스 접근

3. JWT vs OAuth

• JWT는 토큰 형식이고, OAuth는 권한 부여 프로토콜입니다.
• JWT는 주로 인증에 사용되고, OAuth는 권한 부여에 중점을 둡니다.
• OAuth는 JWT를 토큰 형식으로 사용할 수 있습니다.

보안 고려사항

• JWT: 서명 검증, 만료 시간 설정, 민감한 정보 암호화
• OAuth: HTTPS 사용, 상태 매개변수 검증, 안전한 클라이언트 비밀 관리

구현 팁

• JWT: jsonwebtoken 라이브러리 (Node.js)
• OAuth: Passport.js (Node.js), Spring Security OAuth (Java)

결론

JWT와 OAuth는 현대 웹 애플리케이션의 보안과 사용자 경험을 향상시키는 강력한 도구입니다. 개발자는 이들의 작동 원리와 적절한 사용 사례를 이해하고 있어야 합니다.