인증이란??
- 인증은 로그인 절차에서 정확한 이메일/비밀번호 조합을 입력했는지 확인하는 과정을 뜻합니다.
인증은 왜 필요한가??
- 우리 서비스를 누가 쓰는지? 어떻게 사용하는지? 추적이 가능하도록 하기 위해 필요합니다.
인증에 필요한 것은 무엇인가
- 아이디, 이메일주소, 비밀번호 등이 있습니다.
- 이중 비밀번호가 가장 중요합니다.
단방향 해쉬란?
-
본래 해쉬(hash)함수는 자료구조에서 빠른 자료의 검색, 데이터의 위변조 체크를 위해서 쓰이지만, 복원이 불가능한 단방향 해쉬함수는 암호학적 용도로 사용합니다.
-
SHA-256등이 있습니다.
-
1234를 SHA-256으로 해싱하면 다음과 같습니다.
03ac674216f3~ ~ ~이런식으로 나옵니다. -
결과만 봐서는 당장 식별이 불가능하므로 완벽해보입니다.
-
하지만 같은 알고리즘으로 1234를 다시 해싱하면 항상 같은 결과가 도출됩니다.
SALTING & KeyStretching이란?
- 단순해쉬값이 해킹에 쉽게 노출되기 때문에 salting이라는 아이디어가 생겨났습니다.
- 입력한 비밀번호와 임의로 생성한 문자열을 합쳐서 해싱해서 이 해시값을 저장하는 방법입니다.
- 이 때 비교를 위해 해시값과 소금값을 같이 저장해야 합니다.
- 여기에 해커가 패스워드 무작위 대입을 통해 해시값을 계산하는데 필요한 시간을 대폭 늘리기 위해 salting 및 해싱을 여러번 반복해서 원본 값을 유추하기 어렵게 만드는 것이 키 스트랫칭입니다.
bcrypt
salting & Key Stretching 대표적 라이브러리
- 다양한 언어를 지원하고 있으며, 사용이 간편하여 쉽게 적용이 가능합니다.
- bcrypt는 hash결과값에 소금값과 해시값 및 반복횟수를 같이 보관하기 때문에 비밀번호 해싱을 적용하는데 있어 db설계를 복잡하게 할 필요가 없습니다.
- bcrypt를 통해 해싱된 결과 값의 구조는 위와 같습니다.
인가는 무엇일까요?
- 사용자가 서버에 요청을 보내면 인증 과정을 거쳐 확인된 사용자가 맞는지 확인하는 과정이 바로 인가이고, 저장하지 않는 성질을 가지고 있습니다.
JSON WEB Tokeb(jwt)
-
위의 그림은 jwt의 구조입니다.
-
헤더
- 토큰의 타입과 해시알고리즘 정보가 들어갑니다.
- 헤더의 내용은 BASE64 방식으로 인코딩해서 jwt의 가장 첫 부분에 기록됩니다.
- 예시- {'alg':'HS256','typ':'JWT'}
- 내용
- 내용에는 exp와 같이 만료시간을 나타내는 공개 클레임
- 그리고 클라이언트와 서버간 협의하에 사용하는 비공개 클레임
- 그 외 어떤 내용이던 상관없이 추가 가능
- 위의 두가지 요소를 조합하여 작성한뒤 BASE64 인코딩하여 두번째 요소로 위치합니다.
- 예시- {'user-id' : 1. 'iat': 1539517391}
- 서명
- JWT가 원본 그대로라는 것을 확인할 때 사용하는 부분입니다.
- 시그니쳐는 BASE64URL 인코드된 header 와 played 그리고 JWT secret(별도 생성)을 헤더에 지정된 암호 알고리즘으로 암호화하여 전송합니다.(복호화가능)
- 프론트앤드가 JWT를 백엔드 api 서버로 전송하면 서버에서 전송받은 jwt의 서명부분을 복호화하여 서버에서 생성한 jwt가 맞는지 확인합니다.
- 마치 계약서의 위변조를 막기위해 서로 사인하는 것과 같다고 보시면 됩니다.
- 헤더와 내용에는 BASE64 인코딩한 것이므로(암호화 x) 누구나 원본을 볼 수 있으니 개인정보 담아서는 안된다.
