Anonymous Authentication

김상욱·2024년 12월 8일

익명 인증에 대한 내용을 조금 더 자세히 설명드리겠습니다. 아래는 각 문단의 의미와 중요성을 세부적으로 풀어낸 내용입니다.

1. 기본적으로 거부 (Deny-by-default) 방식

"기본적으로 거부"는 보안 설정의 핵심 원칙 중 하나입니다. 이는 허용해야 하는 항목만 명시적으로 정의하고, 나머지는 모두 차단하는 방식입니다.

  • 예시:
    대부분의 웹 애플리케이션에서는 로그인, 로그아웃, 메인 페이지 정도만 인증 없이 접근 가능하게 설정하고, 나머지 페이지들은 인증된 사용자만 접근할 수 있게 만듭니다.
    이를 설정할 때:
    • 특정 URL만 허용 규칙을 설정하거나,
    • 모든 URL을 차단한 뒤 허용할 URL만 예외적으로 정의할 수 있습니다.

이러한 접근 방식은 개발자 입장에서 더 효율적이고 명확한 정책을 구성할 수 있게 해줍니다.

2. 필터 체인을 우회하지 않는 이유

특정 페이지를 필터 체인에서 제외하면 인증/인가 검사를 우회할 수 있지만, 이는 바람직하지 않을 수 있습니다.

  • 필터 체인을 우회하는 단점:
    • 인증된 사용자와 인증되지 않은 사용자가 동일한 페이지를 보더라도 다른 동작을 해야 할 경우, 이 설정은 복잡도를 증가시킵니다.
    • 예를 들어, 로그인 상태에 따라 홈페이지의 표시 내용이 달라지는 경우, 인증되지 않은 상태에서 필터를 완전히 우회하면 이를 구현하기 어려울 수 있습니다.

따라서 필터 체인에서 페이지를 제외하는 대신, "익명 인증"을 활용하여 더 정교한 설정을 적용하는 것이 권장됩니다.

3. 익명 인증의 개념

Spring Security에서 "익명 인증"은 인증되지 않은 사용자에게 기본적인 접근 설정을 제공하는 방법입니다.

  • 익명 인증 vs 비인증 상태:
    • 익명 인증은 본질적으로 비인증 상태와 동일합니다. 그러나 Spring Security는 익명 사용자도 Authentication 객체를 SecurityContextHolder에 저장합니다.
    • 이를 통해 SecurityContextHolder는 항상 Authentication 객체를 보장하게 됩니다.

4. 익명 인증의 실제 작동 방식

  • 익명 인증 객체:
    • 익명 인증은 "익명 사용자"로 설정된 기본 객체를 제공합니다.
    • 그러나 애플리케이션에서 Servlet API의 getCallerPrincipal() 같은 메서드를 호출하면 결과는 여전히 null입니다.
    • 이것은 익명 인증 객체가 실제 인증 정보를 제공하는 것이 아니라, 보안 구성을 더 쉽게 하기 위한 수단임을 보여줍니다.

5. 익명 인증의 유용성

익명 인증은 다음과 같은 상황에서 특히 유용합니다:
1. 감사 로그나 트래킹 기능:

  • 애플리케이션에서 작업을 수행한 사용자를 기록하거나 추적할 때 SecurityContextHolder를 조회하여 사용자 정보를 가져옵니다.
  • 익명 인증이 설정되어 있으면, 인증되지 않은 상태에서도 Authentication 객체를 확인할 수 있으므로 코드가 더 단순하고 안정적이 됩니다.
  1. 코드의 견고성 증가:
    • SecurityContextHolder가 null을 반환하지 않는다는 가정하에 코드를 작성할 수 있으므로, 인증 여부에 따른 조건문 처리가 간소화됩니다.
    • 이는 코드 가독성과 유지보수성 향상에 기여합니다.

6. 익명 인증이 적용된 예시

설정 방식:

  • 모든 URL에 기본적으로 특정 역할이 필요하도록 설정합니다. (ROLE_USER 등)
  • 예외적으로 로그인, 로그아웃, 메인 페이지 등에는 permitAll()을 적용하거나 익명 인증을 활성화합니다.
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/", "/login", "/logout").permitAll() // 예외 설정
            .anyRequest().hasRole("USER") // 기본적으로 ROLE_USER 필요
            .and()
        .anonymous(); // 익명 인증 활성화
}

동작:

  1. 인증되지 않은 사용자가 /login 페이지에 접근:
    • 익명 인증 객체가 생성되어 접근 허용.
  2. 인증되지 않은 사용자가 /secure-page에 접근:
    • 익명 인증 객체는 ROLE_USER 권한이 없으므로 접근 거부.
  3. 감사 로그 확인:
    • SecurityContextHolder에 항상 Authentication 객체가 존재하므로, 인증 상태에 따라 작업 주체를 명확히 기록 가능.

7. 요약 및 장점

  • 익명 인증은 인증되지 않은 사용자도 일관되게 처리할 수 있도록 도와줍니다.
  • 보안 구성을 단순화하고, 코드의 견고성을 높이며, 감사를 위한 작업 주체를 명확히 할 수 있는 유용한 도구입니다.
  • SecurityContextHolder는 항상 Authentication 객체를 제공하므로 인증 여부에 따른 불필요한 조건문 처리를 줄일 수 있습니다.

이해를 돕기 위해 추가적인 예제나 설명이 필요하시면 말씀해주세요! 😊

익명 인증과 관련된 설정 및 작동 방식을 더 자세히 설명드릴게요.

1. 익명 인증이란?

익명 인증은 인증되지 않은 사용자에게도 제한적인 보안 설정을 적용하기 위한 Spring Security의 기능입니다.

  • 인증되지 않은 상태에서 특정 페이지에 접근 가능하도록 하거나, 모든 URI에 보안 규칙을 일관성 있게 적용할 수 있게 도와줍니다.
  • 인증 여부와 관계없이 Spring Security의 SecurityContextHolder에 Authentication 객체를 포함시켜 코드의 견고성을 높입니다.

2. 익명 인증이 동작하는 과정

익명 인증 기능은 다음과 같은 세 가지 주요 클래스가 함께 작동하여 이루어집니다:

1) AnonymousAuthenticationToken

  • Authentication의 구현체로, 익명 사용자의 역할과 권한을 저장합니다.
  • 예를 들어, 익명 사용자에게 ROLE_ANONYMOUS라는 권한을 부여할 수 있습니다.
  • 익명 인증 객체는 Spring Security가 자동으로 생성하여 SecurityContextHolder에 저장합니다.

2) AnonymousAuthenticationProvider

  • ProviderManager에 체인으로 연결되어, AnonymousAuthenticationToken을 검증합니다.
  • 익명 인증 토큰의 유효성을 확인하고, 올바른 경우만 접근을 허용합니다.

3) AnonymousAuthenticationFilter

  • 인증 필터 체인의 마지막 단계에 위치하여, SecurityContextHolder에 Authentication 객체가 없는 경우 자동으로 AnonymousAuthenticationToken을 추가합니다.
  • 즉, 인증되지 않은 사용자라도 기본적인 Authentication 객체를 가지게 됩니다.

3. 구성 요소 설명

익명 인증은 XML로 설정할 수 있으며, 관련된 필터와 인증 제공자를 다음과 같이 정의할 수 있습니다:

1) 필터 (AnonymousAuthenticationFilter)

<bean id="anonymousAuthFilter"
      class="org.springframework.security.web.authentication.AnonymousAuthenticationFilter">
    <property name="key" value="foobar"/>
    <property name="userAttribute" value="anonymousUser,ROLE_ANONYMOUS"/>
</bean>
  • key: 필터와 인증 제공자가 공유하는 키입니다. 익명 인증 토큰의 유효성을 검증하는 데 사용됩니다.
    • 보안 목적보다는 관리 목적으로 사용됩니다.
  • userAttribute: 익명 사용자 이름과 권한을 정의합니다.
    • 위의 예에서는 익명 사용자를 anonymousUser로 설정하고, ROLE_ANONYMOUS 권한을 부여했습니다.

2) 인증 제공자 (AnonymousAuthenticationProvider)

<bean id="anonymousAuthenticationProvider"
      class="org.springframework.security.authentication.AnonymousAuthenticationProvider">
    <property name="key" value="foobar"/>
</bean>
  • key: 필터에서 생성된 토큰이 이 인증 제공자에서 허용되도록 합니다.
    • RMI와 같은 외부 호출 환경에서는 키를 추측 가능하지 않게 설정해야 보안 위협을 방지할 수 있습니다.

4. 익명 인증의 보안 위험과 주의점

  1. 보안 위험:
    • 익명 인증은 키(key)를 기반으로 동작하기 때문에, 만약 이 키가 추측 가능하거나 노출되면 악의적인 클라이언트가 AnonymousAuthenticationToken을 직접 생성해 인증을 통과할 수 있습니다.
  2. 주의사항:
    • RMI와 같은 클라이언트에서 Authentication 객체를 생성할 수 있는 경우, 익명 인증 제공자를 포함하지 않은 맞춤형 ProviderManager를 사용하는 것이 안전합니다.
    • 일반 HTTP 인증 환경에서는 이러한 문제가 발생하지 않으므로 기본 설정을 사용해도 괜찮습니다.

5. 익명 인증의 활용 예제

다음은 익명 인증을 활용하여 URI 보안 규칙을 설정하는 예제입니다:

<bean id="filterSecurityInterceptor"
      class="org.springframework.security.web.access.intercept.FilterSecurityInterceptor">
    <property name="authenticationManager" ref="authenticationManager"/>
    <property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
    <property name="securityMetadata">
        <security:filter-security-metadata-source>
            <security:intercept-url pattern='/index.jsp' access='ROLE_ANONYMOUS,ROLE_USER'/>
            <security:intercept-url pattern='/hello.htm' access='ROLE_ANONYMOUS,ROLE_USER'/>
            <security:intercept-url pattern='/logoff.jsp' access='ROLE_ANONYMOUS,ROLE_USER'/>
            <security:intercept-url pattern='/login.jsp' access='ROLE_ANONYMOUS,ROLE_USER'/>
            <security:intercept-url pattern='/**' access='ROLE_USER'/>
        </security:filter-security-metadata-source>
    </property>
</bean>

설명

  • /index.jsp, /hello.htm, /logoff.jsp, /login.jsp:
    • 익명 사용자(ROLE_ANONYMOUS)와 인증된 사용자(ROLE_USER) 모두 접근 가능.
  • /**:
    • 인증된 사용자(ROLE_USER)만 접근 가능.
  • 익명 인증을 통해 /index.jsp와 같은 페이지에 보안 규칙을 일관되게 적용할 수 있습니다. 인증되지 않은 사용자와 인증된 사용자 모두를 명시적으로 처리할 수 있습니다.

6. 익명 인증의 이점

  1. 모든 URI에 일관된 보안 적용:
    • 인증되지 않은 사용자라도 Authentication 객체를 가지고 있으므로, 모든 URI에 보안 규칙을 쉽게 적용할 수 있습니다.
  2. 유연한 접근 제어:
    • 특정 페이지는 익명 사용자와 인증된 사용자 모두에게 열어두고, 나머지 페이지는 인증된 사용자만 접근 가능하도록 설정할 수 있습니다.
  3. 코드 간소화:
    • SecurityContextHolder에 항상 Authentication 객체가 있으므로, 코드에서 인증 여부를 조건문으로 확인하는 복잡성을 줄일 수 있습니다.

요약

익명 인증은 보안 규칙을 일관되게 적용하고, 인증되지 않은 사용자를 체계적으로 처리할 수 있도록 돕는 유용한 도구입니다. 이를 통해 인증되지 않은 사용자도 제한적인 권한으로 시스템을 사용할 수 있으며, 모든 URI에 보안 정책을 명확히 정의할 수 있습니다. 추가 설명이나 다른 예제가 필요하면 언제든 말씀해주세요! 😊

AuthenticationTrustResolver와 익명 인증

Spring Security에서 AuthenticationTrustResolver는 익명 인증 상태를 특별히 처리할 수 있도록 설계된 인터페이스입니다. 이를 통해 익명 사용자가 "인증되지 않은 상태"로 간주되는지 확인하고, 적절한 인증 흐름을 유도할 수 있습니다. 익명 인증과 관련된 여러 상황에서 이 인터페이스는 중요한 역할을 합니다. 하나씩 자세히 살펴보겠습니다.

1. AuthenticationTrustResolver의 역할

AuthenticationTrustResolver는 다음과 같은 기능을 제공합니다:

  • 익명 인증 상태를 확인하기 위한 메서드 제공:
    boolean isAnonymous(Authentication authentication);
    이 메서드는 전달된 Authentication 객체가 익명 인증(ROLE_ANONYMOUS)에 해당하는지 확인합니다.

2. ExceptionTranslationFilter와의 연계

AuthenticationTrustResolver는 ExceptionTranslationFilter와 함께 동작하여 다음과 같은 과정을 처리합니다:
1. AccessDeniedException 발생:

  • Spring Security에서 인증되지 않은 사용자가 권한이 필요한 자원에 접근하려고 할 때, AccessDeniedException이 발생합니다.
  1. 익명 인증 확인:
    • 이 예외가 발생했을 때, ExceptionTranslationFilter는 AuthenticationTrustResolver를 사용하여 현재 인증 객체가 익명 인증인지 확인합니다.
    • 만약 isAnonymous()가 true를 반환한다면, 이는 사용자가 인증되지 않았다는 의미입니다.
  2. AuthenticationEntryPoint 실행:
    • 익명 인증 상태라면 403(Forbidden) 응답을 반환하는 대신, AuthenticationEntryPoint가 호출되어 사용자가 적절히 인증할 기회를 제공합니다.
  3. 필요성:
    • 이 과정은 중요한 구분을 만듭니다. 만약 익명 인증 상태를 무시하고 403 응답을 반환한다면, 사용자는 로그인 폼이나 기타 인증 메커니즘을 통해 인증할 기회를 얻지 못합니다.

3. ROLE_ANONYMOUS와 IS_AUTHENTICATED_ANONYMOUSLY

Spring Security에서는 익명 사용자와 관련된 두 가지 접근 제어 속성을 제공합니다:

  • ROLE_ANONYMOUS:
    • 익명 사용자에게 부여되는 기본적인 권한입니다.
    • 익명 사용자가 특정 자원에 접근할 수 있도록 허용하기 위해 사용됩니다.
  • IS_AUTHENTICATED_ANONYMOUSLY:
    • AuthenticatedVoter를 사용하여 익명 인증 상태를 나타냅니다.
    • 기능적으로 ROLE_ANONYMOUS와 동일한 역할을 하지만, 더 세분화된 인증 상태를 처리할 수 있습니다.

4. AuthenticatedVoter와 RoleVoter의 차이점

AuthenticatedVoter는 Spring Security에서 인증 상태를 보다 세분화하여 처리할 수 있는 방식입니다.

  • AuthenticatedVoter:
    • 익명 사용자, "remember-me" 인증 사용자, 완전히 인증된 사용자를 구분합니다.
    • 더 세부적인 인증 상태 처리가 필요한 경우 사용됩니다.
    • 익명 인증 상태에서는 IS_AUTHENTICATED_ANONYMOUSLY를 사용하여 익명 사용자를 허용합니다.
  • RoleVoter:
    • 역할(ROLE_) 기반의 권한 처리를 단순화한 방식입니다.
    • 기본적으로 익명 인증 상태는 ROLE_ANONYMOUS로 처리합니다.

비교

기능AuthenticatedVoterRoleVoter
익명 사용자 지원지원 (IS_AUTHENTICATED_ANONYMOUSLY)지원 (ROLE_ANONYMOUS)
"remember-me" 사용자 구분지원미지원
완전히 인증된 사용자 구분지원미지원
사용 목적세분화된 인증 상태 처리간단한 역할 기반 권한 처리

5. AuthenticationTrustResolver의 실제 활용

다음은 AuthenticationTrustResolver가 활용되는 예제입니다:

AccessDenied 처리

public void handleAccessDeniedException(Authentication authentication) {
    AuthenticationTrustResolver trustResolver = new AuthenticationTrustResolverImpl();

    if (trustResolver.isAnonymous(authentication)) {
        // 익명 인증 상태라면 AuthenticationEntryPoint 호출
        commenceAuthenticationEntryPoint();
    } else {
        // 인증된 상태라면 403 응답
        throw new AccessDeniedException("Access is denied");
    }
}
  • 익명 인증 여부를 확인하여 적절한 응답을 제공합니다.

IS_AUTHENTICATED_ANONYMOUSLY 사용

XML 설정에서 IS_AUTHENTICATED_ANONYMOUSLY를 사용하는 예제:

<security:intercept-url pattern="/public/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />
<security:intercept-url pattern="/private/**" access="ROLE_USER" />
  • /public/**: 익명 사용자도 접근 가능.
  • /private/**: 인증된 사용자만 접근 가능.

6. 요약

  1. AuthenticationTrustResolver:
    • 익명 인증 상태를 확인하고 적절히 처리할 수 있는 인터페이스.
    • ExceptionTranslationFilter와 함께 동작하여 인증되지 않은 사용자에게 인증 기회를 제공합니다.
  2. ROLE_ANONYMOUS vs IS_AUTHENTICATED_ANONYMOUSLY:
    • 단순한 역할 처리(ROLE_ANONYMOUS)와 세분화된 인증 상태 처리(IS_AUTHENTICATED_ANONYMOUSLY) 중 선택 가능.
  3. AuthenticatedVoter:
    • 익명, "remember-me", 완전 인증 상태를 구분할 수 있는 강력한 방식.
    • 세분화된 인증 상태 처리가 필요하지 않다면 RoleVoter를 사용해도 충분합니다.

추가적으로 궁금하거나 자세히 알고 싶은 부분이 있으면 말씀해주세요! 😊

Spring MVC에서 익명 인증 가져오기

Spring MVC는 Principal 타입의 매개변수를 자체적인 인자 리졸버(argument resolver)를 사용해 처리합니다.

예제

다음과 같은 코드를 작성했을 때:

Java 코드

@GetMapping("/")
public String method(Authentication authentication) {
    if (authentication instanceof AnonymousAuthenticationToken) {
        return "anonymous";
    } else {
        return "not anonymous";
    }
}

위 코드는 익명 요청에서도 항상 "not anonymous"를 반환합니다.

이유

Spring MVC는 매개변수를 처리할 때 HttpServletRequest#getPrincipal을 사용합니다. 이 메서드는 요청이 익명일 때 null을 반환하기 때문에, Authentication이 AnonymousAuthenticationToken인지 확인할 수 없습니다.

익명 요청에서 Authentication 객체 가져오기

익명 요청에서 Authentication 객체를 가져오려면 @CurrentSecurityContext를 사용해야 합니다.

@CurrentSecurityContext를 사용한 코드

@GetMapping("/")
public String method(@CurrentSecurityContext SecurityContext context) {
    return context.getAuthentication().getName();
}
  • @CurrentSecurityContext를 사용하면 SecurityContext를 직접 가져와, 익명 요청에서도 인증 정보를 확인할 수 있습니다.
  • 이를 통해 SecurityContext에 저장된 Authentication 객체를 사용할 수 있습니다.

요약

  • Authentication 매개변수를 직접 사용하는 경우 익명 요청에서는 작동하지 않습니다.
  • 익명 요청에서도 Authentication 객체를 확인하려면 @CurrentSecurityContext를 사용해야 합니다.
    이 방식은 SecurityContext에서 Authentication 객체를 직접 가져오므로, 익명 인증 상태에서도 제대로 동작합니다.
profile
김상욱
이전 포스트

[24일] 12월 6일

다음 포스트

Handling Logouts

0개의 댓글