인증(Authentication)
간단하게 말하면 website 상에서 user를 식별하는것이다.
인증절차에 필요한 것
- 아이디, 비밀번호 이메일 등이 있다.
비밀번호의 암호화
- 비밀번호 그대로 DB에 저장하지 않는다.
1) 해킹시 비밀번호가 그대로 노출된다
2) 외부 해킹이 아니더라도 내부 개발자나 다른 사람들이 볼 수 있다. - 비밀번호는 꼭 암호화하여 저장한다.
1) 해킹시 비밀번호가 그대로 노출되지 않는다.
2) 내부 개발자도 알 수 없다.
단방향 해쉬
- 비밀번호를 변환하여 암호화된 메시지인 다이제스트(digest)를 생성
- 비밀번호를 알면 암호화된 비밀번호를 구하기는 쉽지만 암호화된 비밀번호는 원본 비밀번호를 구할 수 없어서 단방향성이라고 한다.
Bcrypt
단방향 해쉬에 몇가지의 취약점이 있다. bcrypt는 그것을 방지하기위해
Salting과
Key Stretching을 제공해주는 대표적인 라이브러리다.
- Salting
실제 비밀번호 이외에 추가적으로 랜덤 데이터를 더해서 해시값을 계산하는 방법. - Key Stretching
단방향 해쉬값을 계산 한 후 그 해쉬값을 또 해쉬 하고, 또 이를 반복하는 것을 말한다.
비밀번호를 해쉬
hashed_password = bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt())encode : string 타입을 bytes 타입으로 전환시켜준다. - 부호화
decode : bytes 타입을 string 타입으로 전환시켜준다. - 복호화
<Bcrypt 형식 이미지>
암호화된 비밀번호가 일치한지 확인하기 위한방법
bcrypt.checkpw(request_password.encode('utf-8'),hashed_password)해쉬된 비밀번호를 데이터 베이스에 보면 위 이미지와 같이 bcrypt된 암호가 저장된다. 요청한 비밀번호를 입력한뒤 위와 같은 코드를 입력하였을때 해시하기전 비밀번호와 같으면True가 그렇지 않은 경우False가 출력된다.
인가(Authorization)
간단하게 로그인 한 사람이 추가적인 서비스 이용할때 권한 있는 유저인지 확인하는 절차이다.
JWT (Json Web Token)
권한이 있는 유저인지 확인하기위해 토큰을 부여한다.
토큰을 부여하기 위해서는 DB의 SECRET_KEY를 알아야하고 연결해줘야하며
토큰생성
access_token = jwt.encode({'id' : 1}, SECRET_KEY, algorithm = 'HS256')로그인에 성공한 후에는 access token이라고 하는 암호화된 유저 정보를 첨부해서 request를 보내게 된다.
#EX)
POST /auth HTTP/1.1
Host: localhost:5000
Content-Type: application/json
{
"username": "joe",
"password": "pass"
}
HTTP/1.1 200 OK
Content-Type: application/json
{
"access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZGVudGl0eSI6MSwiaWF0IjoxNDQ0OTE3NjQwLCJuYmYiOjE0NDQ5MTc2NDAsImV4cCI6MTQ0NDkxNzk0MH0.KPmI6WSjRjlpzecPvs3q_T3cJQvAgJvaQAPtk1abC_E"
}위와 같이 토큰이 발행되며 서버에서는 access token을 복호화 해서 해당 유저 정보를 얻게 된다.
토큰 복호화
jwt.decode(access_token, SECRET, algorithm = 'HS256')위와 같이 입력하면 {'id': 1}의 값을 반환한다.
토큰을 활용하여 반대로 유저를 확인할 수도 있다.
JWT는 말 그대로 유저 정보를 담음 JSON 데이터를 암호화 해서 클라이언트와 서버간에 주고 받는 것이다.
JWT는 3가지로 이루어져있다.
1) 헤더 (header)
- 토큰의 타입과 해싱알고리즘을 지정
2) 내용 (payload)
- 등록된 (registered) 클레임 - 위 이미지네 나와있는 내용같은 경우
- 공개 (public) 클레임 - 충돌이 방지된 이름을 가지기 위해서 URI 형식으로 사용
- 비공개 (private) 클레임 - 위의 두클래임간에 (보통 클라이언트 <->서버) 협의하에 사용되는 클레임
3) 서명 (signature)
- 헤더의 인코딩값과, 내용의 인코딩값을 합친후 주어진 비밀키로 해쉬를 하여 생성
