인증 방식

쿠키

정의

쿠키는 Key-Value 형식의 문자열 덩어리이다. 클라이언트가 어떠한 웹 사이트를 방문할 경우 그 사이트가 사용하고 있는 서버를 통해 클라이언트의 브라우저에 설치되는 작은 기록 정보 파일이다.

동작 원리

• 클라이언트가 서버에 요청을 보낸다.
• 서버는 클라이언트의 요청에 대한 응답을 작성할 때, 클라이언트 측에 저장하고 싶은 정보를 응답 헤더의 Set-Cookie에 담는다.
• 이후 해당 클라이언트는 요청을 보낼 때마다, 매번 저장된 요청 헤더의 쿠키에 담아 보낸다.

단점

• 요청 시 쿠키의 값을 그대로 보내기 때문에 유출 및 조작 당할 위험이 존재한다.
• 요량 제한이 있어 많은 정보를 담을 수 없다.
• 웹 브라우저마다 쿠키에 대한 지원 형태가 다르기 때문에 브라우저간 공유가 불가능하다.

세션

정의

쿠키의 보안적 이슈를 해결하기 위해, 세션은 서버 측에서 클라이언트의 민감한 인증 정보를 저장하고 관맇나다.

동작 원리

• 유저가 웹사이트에서 로그인하면 세션이 서버 메모리 상에 저장된다.
• 서버에서 브라우저 쿠키에 세션 ID를 저장한다.
• 브라우저는 해당 사이테 대한 모든 요청에 세션 ID를 쿠키에 담아 전송한다.
• 서버는 클라이언트가 보낸 세션 ID와 서버에서 관리되고 있는 세션 ID와 비교하여 인증을 수행한다.

단점

• 세션 ID 자체를 탈취하여 클라이언트인척 위장할 수 있다는 한계가 존재한다.

토큰

정의

클라이언트가 서버에 접속하면 서버에서 해당 클라이언트에게 인증되었다는 의미로 토큰을 부여한다. 이 토큰은 유일하며 토큰을 발급받은 클라이언트는 요청을 보낼 때 요청 헤더에 토큰을 심어서 보낸다. 이를 통해 인증 과정을 처리하게 된다.

동작 방법

• 사용자가 아이디와 비밀번호로 로그인을 한다.
• 서버에서 클라이언트에게 토큰을 발급한다.
• 클라이언트는 토큰을 쿠키 혹은 스토리지에 저장하고, 서버에 요청할 때마다 해당 토큰을 HTTP 요청 헤더에 포함시켜 전달한다.
• 서버는 전달받은 토큰을 검증하고 요청에 응답한다.

단점

• 데이터가 길기 때문에 인증 요청이 많아질수록 네트워크 부하가 심해질 수 있다.
• 토큰을 탈취당하면 대처하기 어렵다.
• Payload 자체는 암호화되지 않기 때문에 중요한 정보는 담을 수 없다.

JWT

정의

인증 정보에 필요한 정보를 암호화시킨 JSON(Json Web Token) 토큰이다. JSON 데이터를 Base64를 통해 인코딩하여 직렬화한 것이며, 토큰 내부에는 위변조 방지를 위해 개인키를 통한 전자서명도 들어있다. 따라서 사용자가 JWT를 서버로 전송하면 서버는 서명을 검증하는 과정을 거치게 되며 검증이 완료되면 요청한 응답을 돌려준다.

구조

• Header
  • alg : 서명 암호화 알고리즘
  • typ : 토큰 유형
• Payload
  • Registed claims : 미리 정의된 클레임
    • iss : 발행자
    • exp : 만료 시간
    • sub : 제목
    • iat : 발행 시간
    • jti : JWI ID
  • Public claims : 사용자가 정의할 수 있는 클레임 공개용 정보 전달을 위해 사용
  • Private claims : 외부에 공개되도 상관없지만 해당 유저를 특정할 수 있는 정보를 담음
• Signature

  • (헤더 + 페이로드)와 서버에 갖고 있는 시크릿 키를 합친 것을 헤더에 정의한 알고리즘으로 암호화