인증/인가 란? JWT(JSON web token)?

chyoon0512·2021년 3월 8일
0

Wecode TIL

목록 보기
12/13
post-thumbnail

정말 정말 정말 중요한 부분인 것 같다. 아직은 정확히는 모르더라도 계속해서 보고 제대로 이해하도록 노력하자

(Session) 인증/인가

인증

인증은 로그인 절차에서 정확한 이메일/비밀번호 조합을 입력했는지 확인하는 과정을 뜻한다.

"인증은 왜 필요할까??"

우리 서비스를 누가 사용하는지 어떻게 사용하는지? 추적이 가능하도록 하기 위해 필요!!

인증에 필요한 것은 무엇??!

  • 아이디, 이메일주소, 비밀번호 등등
  • 가장 중요한 것은 비밀번호

암호화는 어떻게 할까

단방향 해쉬란?

  • 본래 해쉬함수는 자료구조에서 빠른 자료의 검색, 데이터의 위변조 체크를 위해서 쓰이지만, 복원이 불가능한 단방향 해쉬함수는 암호학적 용도로 사용한다.
  • MD5, SHA-1, SHA-256 등이 있다.
  • '1234'를 SHA-256 으로 해싱하면 다음과 같습니다.
  • 결과만 봐서는 당장 식별이 불가능해서 완벽해보이나, 같은 알고리즘으로 '1234'다시 해싱하면 항상 같은 결과가 도출된다.

SALTING & KeyStretching?

  • 단순해쉬값이 해킹에 쉽게 노출되기 때문에 Salting이라는 아이디어가 생겨났다.
  • 입력한 비밀번호와 임의오 생성한 문자열(Salt)를 합쳐서 해싱해서 이 해시값을 저장하는 방법이다.
  • 이때 비교를 위해 해시값과 소금(Salt)값을 같이 저장해야한다.
  • 해커가 패스워드 무작위 대입을 통해 해시값을 계산하는데 필요한 시간을 대폭 늘리기 위해 Salting및 해싱을 여러번 반복해서 원본 값을 유추하기 어렵게 맏느는 것이 키 스트랫칭(Key Stretching)이다.

인가

사용자가 서버에 요청을 보내면 인증 과정을 거쳐 확인된 사용자가 맞는지 확인하는 과정이 바로 **인가(Authorization)**이다.

HTTP의 가장 중요한 특징들

  • Request / Response 요청과 응답
  • Stateless 한 성질 ( 저장하지 않는 성질 , 서로 독립적 )

인가는 무엇일까?

  • HTTP는 Stateless 한데, 서버에서 요청을 받으면 사용자가 로그인 한 상태인지 어떻게 알까?
  • 매 HTTP 요청마다 headers를 활용하여 사용자가 인증 절차를 거친 사용자임을 증명하는 정보를 담아서 보내는 방법이다.

JSON Web Token(JWT)

헤더에는 어떤 정보가?

  • 토큰의 타입과 해시알고리즘 정보가 들어간다.
  • BASE64 방식으로 인코딩해서 JWT의 가장 첫 부분에 기록된다.

내용

  • exp와 같이 만료시간을 나타내는 공개 클레
  • 클라이언트와 서버간 협의하에 사용하는 비공개 클레임
  • 그 외 어떤 내용이던 상관없이 추가 가능
  • 위의 두가지 요소를 조합하여 작성한뒤 BASE64 인코딩하여 두번째 요소로 위치한다.
  • 예시 - {'userId' : 1, 'iat': 15395134325 }

서명(signature)

  • JWT가 원본 그대로라는 것을 확인할 때 사용하는 부분
  • 시그니쳐는 BASE64URL 인코드된 headerpayload 그리고 JWT secret(별도 생성)을 헤더에 지정된 암호 알고리즘으로 암호화하여 전송한다. (복호화 가능)

JWT 전 기존 방식

JWT는 기존 방식의 단점을 어떻게 보완??

비밀번호 설정 꿀팁

호열님이 올려주신 사진 특수문자?? 긴 패스워드가 더 뚫기 힘들다고한다ㅎㅎ

0개의 댓글