Authentication & Authorization, JWT

unhyif·2023년 6월 19일

회사의 로그인 코드를 이해하는 과정에서 관련된 개념들을 공부해 보았다.

Authentication (인증)

사용자의 신원을 확인하는 과정

비밀번호 기반 인증 방식
- 주로 단방향 해쉬 함수로 비밀번호를 암호화하여 DB에 저장함
- cf) 단방향 해쉬 함수: 원본 메시지를 암호화할 수 있음. 원본 메시지를 알면 암호화된 메시지를 알 수 있지만, 반대는 불가능함
OTP: 1회용 비밀번호를 사용하는 인증 방식
2FA/MFA: 여러 인증 요소를 사용하여 유연하고 보안이 강화된 인증 방식
SSO: 한 번의 인증으로 다양한 시스템에 재인증 없이 접근할 수 있는 인증 방식
Social Authentication: SNS의 기존 자격 증명을 사용하는 인증 방식
API Authentication: 서비스에 액세스하려는 사용자를 API key/token으로 식별하는 인증 방식
생체 인증: 고유한 생물학적 특징을 사용하는 인증 방식

사용자의 특정 리소스에 대한 접근 권한을 확인하는 과정

JSON 형식의 토큰으로, 주로 인증/인가를 위해 사용됨

<Header>.<Payload>.<Signature>

Header: 토큰 타입, 해쉬 알고리즘 정보가 BASE64Url 방식으로 인코딩됨
```
{
"alg": "HS256",
"typ": "JWT"
}
```
Payload: 여러 claim (name:value 쌍인 정보 조각)들이 BASE64Url 방식으로 인코딩됨
- Registered claim: JWT 사양에 이미 정의된 클레임 (ex: 토큰 발급자 iss, 토큰 만료 기한 exp)
- Public claim: 충돌 방지를 위해 URI 형식의 name을 가진 클레임
- Private claim: server와 client 간에 협의된 클레임
  - 민감하지 않은 고유 정보가 들어감 (ex: id)
Signature: Header/Payload를 secret key(별도 생성)와 헤더에 지정된 알고리즘으로 암호화한 것을 인코딩한 값
- client가 JWT를 server로 전송하면 server는 JWT의 signature를 복호화하여 위변조 여부를 검증함

짧은 만료 기한을 설정함
민감한 작업을 수행할 때에는 2FA와 같이 추가적인 인증을 통해 보안을 강화함
request 시 access token을 재발급하여 만료 기한을 연장하는 방식
request 시 access token이 만료됐을 때 refresh token으로 access token을 재발급하는 방식
cf) refresh token: access token의 재발급을 위한 토큰으로, access token보다 긴 만료 기한을 가짐. 또한 검증을 위해 서버에 따로 저장해 두어야 하며, 추가적인 I/O 작업이 수반됨