인증과 인가란?

mandarinduk·2020년 9월 7일

TIL authentication authorization 인가 인증

Wecode

목록 보기

7/16

인증(Authentication) & 인가(Authorization)

인증과 인가는 API에서 가장 자주 구현되는 기능 중 하나

인증(Authentication)

유저의 identification을 확인하는 절차, 쉽게 설명하면 유저의 Id와 Password를 확인하는 절차
인증을 하기 위해선 먼저 유저의 Id와 Password를 생성할 수 있는 기능이 필요하다.

로그인 절차

유저 Id와 Password 생성
유저 Password 암호화 후 DB에 저장
유저가 입력한 Password 암호화 후 암호화 돼서 DB에 저장된 유저 Password와 일치여부 비교
일치하면 로그인 성공
로그인 성공 후 access token을 클라이언트에게 전송
로그인 성공 후에는 request에 access token을 첨부해서 서버에 전송함으로써 매번 로그인 할 필요가 없도록 한다.

유저 Password 암호화

유저의 비밀번호는 꼭 암호화 해서 DB에 저장해야 한다!
암호화에는 단방향 해쉬 함수(one-way hash function)가 일반적으로 쓰인다.
단방향 해시 함수는 원본 메시지를 변환하여 암호화된 메시지인 다이제스트(digest) 를 생성한다. 원본 메시지를 알면 암호화된 메시지를 구하기는 쉽지만 암호화된 메시지로는 원본 메시지를 구할 수 없어서 단방향성(one-way) 이라고 한다.

Bcrypt

단방향 해쉬 함수에는 취약점이 있다.
1. Rainbow table attack - 미리 해쉬 값들을 계산해 놓은 테이블을 Rainbow table이라고 한다.
2. 해쉬 함수는 원래 짧은 시간에 데이터를 검색하기 위해 설계되었다. 그렇기 때문에 해쉬 함수는 본래 처리속도가 최대한 빠르도록 설계되었고, 이러한 속성때문에 공격자는 매우 빠른 속도로 임의의 문자열의 다이제스트와 해킹할 대상의 다이제스트를 비교할 수 있다.
단방향 해쉬 함수의 취약점들을 보완하기 위해 일반적으로 2개의 보완점들이 사용된다.
1. Salting
  : 실제 비밀번호 이외에 추가적으로 랜덤 데이터를 더해서 해쉬 값을 계산하는 방법.
2. Key Stretching
  : 단방향 해쉬 값을 계산 한 후 그 해쉬 값을 또 해쉬하고, 이를 반족하는 것을 말한다.
Salting과 Key Stretching을 구현한 해쉬 함수 중 가장 널리 사용되는 것이 bcrypt이다.
bcrypt는 처음부터 비밀번호 단방향 암호화를 하기 위해 만들어진 해쉬함수이다.

In [40]: import bcrypt

In [41]: bcrypt.hashpw(b"secrete password", bcrypt.gensalt())
Out[41]: b'$2b$12$.XIJKgAepSrI5ghrJUaJa.ogLHJHLyY8ikIC.7gDoUMkaMfzNhGo6'

In [42]: bcrypt.hashpw(b"secrete password", bcrypt.gensalt()).hex()
Out[42]: '243262243132242e6b426f39757a69666e344f563852694a43666b5165445469397448446c4d366635613542396847366d5132446d62744b70357353'

JWT(JSON Web Tokens)

유저가 로그인에 성공한 후에는 access token이라고 하는 암호화된 유저 정보를 첨부해서 request를 보낸다.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZGVudGl0eSI6MSwiaWF0IjoxNDQ0OTE3NjQwLCJuYmYiOjE0NDQ5MTc2NDAsImV4cCI6MTQ0NDkxNzk0MH0.KPmI6WSjRjlpzecPvs3q_T3cJQvAgJvaQAPtk1abC_E"
}