* 인증과 인가

1. 인증이란?

:인증은 회원가입과 로그인을 말합니다.

인증은 왜 필요할까요?

• 우리 서비스를 누가 쓰는지 어떻게 사용하는지 추적이 가능하도록 하기 위해 필요합니다.
• 인증에 필요한 것은 무엇이 있나요?
  • 아이디, 이메일주소, 비밀번호 등이 있습니다.
  • 이중에서 가장 중요한 것은 비밀번호 입니다.

- 암호화는 어떻게 할까?

비밀번호는 그냥 넘겨주는게 아니라 암호화를 해야 합니다.
단방향 해쉬란?

• 본래 해쉬함수는 자료구조에서 빠른 자료의 검색, 데이터의 위변조 체크를 위해서 쓰이지만, 복원이 불가능한 단방향 해쉬함수는 암호학적 용도로 사용합니다.
• (MD5, SHA-1)(둘은 보안 취약),SHA-256등이 있습니다.
• '1234'를 SHA-256 해싱하면 다음과 같습니다.
  03ac674216f3e15c761ee1a53255f067953623c8b388...
• 같은 문자를 해쉬하면 항상 같은 결과가 도출되지만, 모든 경우의 수에 대해서 나오는 Hash값을 만들어서 판매하는 사이트도 존재(Rainbow Table)
• Rainbow Table을 이용해서 해쉬값을 유추해주는 사이트도 존재합니다.
• 따라서 이런 허점을 보완하고자, saltring, KeyStreching을 같이 사용해야합니다.

- Salting & Key Stretching

1. Salting

:실제 비밀번호 이외에 추가적으로 랜덤 데이터를 더해서 해시값을 계산하는 방법.

2. Key Stretching

• 단방향 해쉬값을 계산 한 후 그 해쉬값을 또 또 해쉬 하고, 또 이를 반복하는 것을 말한다.
• 최근에는 일반적인 장비로 1초에 50억 개 이상의 다이제스트를 비교할 수 있지만, 키 스트레칭을 적용하여 동일한 장비에서 1초에 5번 정도만 비교할 수 있게 한다. GPU(Graphics Processing Unit)를 사용하더라도 수백에서 수천 번 정도만 비교할 수 있다. 50억 번과는 비교할 수도 없을 정도로 적은 횟수다. 앞으로 컴퓨터 성능이 더 향상되면 몇 번의 반복을 추가하여 보완할 수 있다.

- bcrypt

:salting & Key Stretching 대표적 라이브러리

• bcrypt는 앞서 말한 개념들을 실제로 적용하기 편하게 해주는 대표적인 라이브러리입니다.
• 다양한 언어를 지원하고 있으며, 사용이 간편하여 쉽게 적용이 가능합니다.
• bcrypt는 hash결과값에 소금값과 해시값 및 반복횟수를 같이 보관하기 때문에 비밀번호 해싱을 적용하는데 있어 DB설계를 복잡하게 할 필요가 없습니다.

2. 인가란?

: 인가(Authorization)는 사용자가 서버에 로그인 하면 해당 사용자가 맞는지 확인하는 과정입니다.

• Http의 특징
  • request/ response 요청과 응답.
  • stateless한 성질(저장하지 않는 성질).
• 위의 특징때문에 서버는 사용자가 로그인 했을경우, 로그인 했다는 것을 headers에 메타데이터를 보내서 확인합니다.
• 이 메타정보를 바로 JSON Web Token 일명JWT라고 합니다.

* JSON Web Token

• 헤더의 정보
  • 토큰의 타입과 해시알고리즘 정보가 들어갑니다.
• 내용(payload)
  • 내용에는 exp와 같이 만료시간을 나타내는 공개 클레임
  • 그리고 클라이언트와 서버간 협의하에 사용하는 비공개 클레임
  • 위의 두가지 요소를 조합하여 작성한뒤 BASE64 인코딩하여 두번째 요소로 위치합니다.
• 서명(signature)
  • JWT가 원본 그대로라는 것을 확인할 때 사용하는 부분입니다.
  • 시그니쳐는 BASE64URL 인코드된 header와 payload 그리고 JWT secret(별도 생성)을 헤더에 지정된 암호 알고리즘으로 암호화하여 전송합니다.(복호화 가능)
  • 마치 계약서의 위변조를 막기위해 서로 사인하는 것과 같다고 보시면 됩니다.
  • 주의할 점은 header와 payload는 BASE64 인코딩한 것이므로 누구나 원본을 볼 수 있으니 개인정보를 담아서는 안됩니다.