JWT토큰을 사용하는데 사용자 검증을 따로 해야 하나요?

Question

스프링 시큐리티에서 JWT토큰을 사용할 때 토큰이 필요한 요청을 하는 사람이 해당 토큰의 주인이 맞는지 검증하는 과정이 필요한가요?지금 인증 로직은 토큰으로 한 번 인증하면 다음 요청에 토큰이 존재하지 않아도 인증이 가능한 문제 때문에 JWT필터에서 SecurityContextHolder.clearContext(); 를 사용해 먼저 인증을 제거하고 시작합니다그리고 요청을 하는 사람이 해당 토큰의 주인이 맞는지 검증하는 과정을 추가하기 위해서토큰에서 id를 추출하고 Authentication에서 추출한 id와 Authentication에 담겨있는 id를 검증하는 과정을 추가했지만생각해보니 같은 토큰으로 Authentication에 id를 저장하고 검증하는 과정이 의미가 없다고 생각돼서다른 검증과정으로 변경하거나 필요없다면 아예 없애려고 하는데토큰 탈취를 대비해서 토큰이 필요한 요청을 할 때 요청한 id가 해당 토큰의 주인이 맞는지에 대한 검증이 필요한가요?필요하다면 토큰이 필요한 요청을 할 때마다 토큰과 함께 요청하는 id가 누구인지 매번 같이 보내주는 방법밖에 없는건가요?JWT토큰 사용이 처음이라 여러 선배님들의 고견을 여쭙고 싶습니다

초무쿤 · Accepted Answer

사실 상 토큰 탈취나 (유료사이트에서 친구랑 토큰 공유) 같은 걸 막는건Expire 시간을 짧게 가져가는 방법 외에는 없지안나 싶습니다.토큰의 위변조는 signing key가 유출되지 않는 이상은 거의 불가능하구요(단 singnibg key가 유추 불가능해야됩니다)Ps. 보안상 중요한 사이트이면정책적으로 MFA(multi factor authentication) 인증을 추가적으로 가져가시는게 맞을거 같네요. (일반적인 사이트는 JWT로도 충분하다고 봅니다만)

Gear · Answer

JWT 검증은 signature를 갖고 하는 것입니다.JWT는 header.payload.signature 구조로 이루어져 있습니다.header와 payload, 그리고 비밀 키를 갖고 hmac으로 signature를 만들어내기 때문에, JWT가 위∙변조 되었는지 아닌지 확인할 수 있습니다.https://jwt.io/요청한 id가 해당 토큰의 주인이 맞는지가 아니라, JWT가 위∙변조 되었는지 아닌지를 확인해야 합니다.라이브러리를 사용중이라면 verify 메소드를 통해 해결하시고, 토큰을 직접 만드셨다면 header, payload, 비밀 키를 통해 signature를 만들어보고 토큰의 signature와 동일한지 확인 해보면 되겠지요.

김을동 · Answer

’한번 인증하면 토큰없이 인증된다‘라는 부분자체가 jwt필터인증이 올바르게 되있는지 의문이네요 세션 방식을 사용하고 있을 것 같은데..보통은 별도의 AuthorizationFilter로 jwt로부터 UserDetails를 만들어 Context에 주입하는게 보편적이긴 한데

JWT토큰을 사용하는데 사용자 검증을 따로 해야 하나요?

3개의 답변

Q&A 목록