JWT

쿠키

클라이언트에 저장되는 키/값이 들어 있는 데이터
사용자가 따로 요청하지 않아도, Request 시에 자동으로 서버에 전송한다.

세션

쿠키를 기반으로 하지만 서버 측에서 관리하는 데이터
클라이언트에 고유 ID를 부여하고 클라이언트에 알맞은 서비스를 제공합니다.
서버에서 관리하기 때문에 보안이 쿠키보다 우수하다.

JWT(JSON Web Token)란?

웹 표준(RFC 7517)으로서 두 개체에서 JSON 객체를 사용하여 통신한다.

• JSON 포맷을 이용하여 사용자에 대한 속성을 저장하는 Web Token
• 토큰 자체를 정보로 사용하는 Self-Contained 방식으로 정보를 안전하게 전달

jwt 생김새
Header에는 토큰의 타입과 알고리즘을 저장한다.
Payload에는 토큰에 담을 정보를 넣는다.
Signature에는 헤더와 정보의 인코딩 값들과 관련된 비밀키가 들어있다.

언제 사용하는가?
-로그인

• 사용자 로그인->서버가 해당 유저의 토큰을 유저에게 전달(JWT)
  ->유저가 요청을 할때 토큰을 포함해서 전달
  ->서버는 해당 토큰일 권한이 있는지 유효하고 인증이 되었는지 확인하고 작업을 진행-서버는 유저의 세션을 유지할 필요가 없다.
  유저가 보낸 토큰만 확인하면 된다.
  서버의 자원을 아낄 수 있다.

-정보교류

• jwt는 두 개체 사이에서 안정성있게 정보를 교환하기에 좋은 방법
  그 이유는, 정보가 sign이 되어있기 떄문에 정보를 보낸이가 바뀌진 않았는지, 또 정보가 도중에 조작되지는 않았는지 검증할 수 있다.

Header

토큰의 헤더는 typ와 alg 총 두 가지 정보로 구성된다.
-typ: 토큰의 타입을 지정한다
-alg: 알고리즘 방식을 지정한다.(서명 및 토큰 검증에 사용)

Payload

토큰의 Payload에는 토큰에서 사요항 정보의 조작들인 클레임(Claim)이 담겨 있다.

등록된 클레임
iss: 토큰 발급자 (issuer)
sub: 토큰 제목 (subject)
aud: 토큰 대상자 (audience)
exp: 토큰의 만료시간 (expiraton),
시간은 NumericDate 형식으로 되어있어야 하며 (예: 1480849147370) 언제나 현재 시간보다 이후로 설정되어있어야한다.

nbf: Not Before 를 의미하며, 토큰의 활성 날짜와 비슷한 개념이다. 여기에 NumericDate 형식으로 날짜를 지정하며, 이 날짜가 지나기 전까지는 토큰이 처리되지 않는다.
iat: 토큰이 발급된 시간 (issued at), 이 값을 사용하여 토큰의 age 가 얼마나 되었는지 판단 할 수 있다.
jti: JWT의 고유 식별자로서, 주로 중복적인 처리를 방지하기 위하여 사용된다.
일회용 토큰에 사용하면 유용하다.

공개 클레임
충돌이 방지된 이름을 가지고 있어야 한다. 충돌을 방지하기 위해 클레임 이름을 URI형식으로 짓는다.

비공개 클레임
등록과 공개를 제외한 클레임이자 사용자 정의 클레임으로 서버와 클라이언트와 협의로 사용되는 클레임이다. 서버와 클라이언트 사이에 임의로 지정한 정보를 저장한다. 이 클레임은 공개 클레임과 달리 이름이 중복되어 충돌될 수 있으니 유의해야 한다.

Signature

JWT의 마지막 부분인 서며은 토큰을 인코딩하거나 유효성 검증을 할 떄 사용하는 고유한 암호화 코드이다.
Signature는 헤더의 인코딩 값과 정보의 인코딩 값을 합친 후 주어진 비밀키로 해시를 하여 생성한다.

JWT토큰 장단점
JWT의 장점

• JWT의 주요한 이점은 사용자 인증에 필요한 모든 정보는 토큰 자체에 포함하기 때문에 별도의 인증 저장소가 필요 없다.
• 쿠키를 전달하지 않아도 되므로 쿠키를 사용함으로써 발생하는 취약점이 사라진다.
• URL파라미터와 헤더로 사용
• REST 서비스로 제공 가능
• 내장된 만료
• 독립적인 JWT

JWT의 단점

• Self_contained: 토큰 자체에 정보를 담고 있으므로 양날의 검이 될 수 있다.
• 토큰 길이: 토큰의 payload에 3종류의 클레임을 저장하기 때문에, 정보가 많아질수록 토큰의 길이가 늘어나 네트워크에 부하를 줄 수 있다.
• payload 인코딩: payload자체는 암호화 된 것이 아니라, BASE64인코딩 된 것이다. 중간에 payload를 탈취하여 디코딩하면 데이터를 볼 수 있으므로, JWE로 암호화하거나 payload에 중요 데이터를 넣지 않아야 한다.
• Stateless: JWT는 상태를 저장하지 않기 때문에 한번 만들어지면 제어가 불가능하다. 즉, 토큰을 임의로 삭제하는 것이 불가능하므로 토큰 만료 시간을 꼭 넣어주어야 한다.
• Tore Token: 토큰은 클라이언트 측에서 관리해야 하기 때문에, 토큰을 저장해야 한다.