JWT에서 refresh token을 사용하는 이유가 뭘까요?

Question

보안을 위해서 사용을 한다고 하는데..access token이 탈취 됐을 때 refresh token을 사용해서 access token을 재발급 한다거나access token의 만료 기간을 짧게 잡아서 refresh token으로 access token을 새로 발급 받아서 사용을 한다고 하는데..access token 이나 refresh token 모두 다 사용자의 브라우저에 저장되는 자료가 아닌가요?어차피 access token이 탈취가 됐다는것은 refresh token도 함께 탈취될 가능성이 99% 이상이 될 것 같은데.access token 이 탈취됐다면 refresh token도 의미가 없어질 것 같은데..구현한 내용들을 보면 access token이 탈취당했을 때 refresh token으로 access token을 재발급 받는 용도로 refresh token을 사용한다는데.이게 의미가 있나요?아니면 제가 잘못 생각을 하고 있을까요???정리하면..access token, refresh token 모두 사용자의 브라우저에 저장이 된다.access token이 탈취당했다면 당연하게도 refresh token도 탈취당했을 확률이 99% 이상이다굳이 refresh token을 만드는 의미가 있을까요?access token의 유효기간을 짧게 잡고, refresh token의 유효기간을 길게 잡는것도 의미가 없을 것 같은데,..

codezzzz · Answer

https://prolog.techcourse.co.kr/studylogs/2272

codezzzz · Answer

JWT를 더 안전하게 저장하기 백엔드 → 로그인 시 인증 서버로부터 access token, refresh token을 받아온다. 프론트엔드 → access token은 메모리(변수)에 저장한다. 백엔드 → refresh token은 쿠키에 저장하여 httpOnly / secure / SameSite(Strict or Lax 모드) 옵션을 지정한다. (백엔드) 프론트엔드 → 권한이 필요한 요청 시 Authorization 헤더에 access token을 보내준다. 백엔드 & 프론트엔드 → access token이 만료되었거나, 페이지 이동으로 사라졌을 시, 서버 렌더링 과정 혹은 API 통신을 통해 재발급을 요청한다. → 이때, 요청 시 쿠키에는 자바스크립트에서 접근이 불가능한(httpOnly 옵션) refresh token이 이미 담겨진 상태로 서버와 통신하게 된다. 백엔드 → refresh token이 만료되었을 때 DB와 다시 한번 통신하여 갱신 혹은 로그아웃 상태로 렌더링을 하여준다. 위와 같이 진행하게 된다면? refresh token이 저장된 쿠키는 외부 경로와 자바스크립트 상에서의 접근이 불가능하여 CSRF, XSS 공격에서 모두 안전성이 확보된다. access token이 저장된 비공개 변수는 XSS, CSRF 공격을 시도할 방법이 사라지며, 토큰이 휘발되어 사라졌던 UX 문제도 해결된다.

오후 · Answer

일단 용도자체가 access token - 인가정보가 필요한 API 검증에 사용refesh token - access token / refresh token 재발급 용도에만 사용 으로 목적 분리가되어있고그에따라 유효시간의 차이가 존재하는겁니다. 보안적으로는 http only / secure 옵션으로 탈취방지 및 값 확인불가 등 1차적 보안물론 이상황에서도 탈취되었다는 가정 이를 방지하기 위해 RTR / 서버(DB)관리등 추가적인 방법을적용합니다

mirheeoj · Answer

"액세스 토큰만 있으면 리프레시 토큰도 얻을 수 있다." -> 이 전제가 성립하는 순간 보안적인 이점은 없다고 할 수 있죠. 거기까진 맞습니다. 그런데 이 전제가 늘 확실히 성립하는지는 생각해볼 문제입니다.예를 들어, https://stateful.com/blog/oauth-refresh-token-best-practices 에 있는 이 그림을 보시면,폐기된 옛 리프레시 토큰이 재사용됐을 경우 유출로 보고 액세스를 막을 수 있습니다. 둘 다 막히니까 탈취자가 먼저 리프레시 토큰을 요청해도 의미가 없습니다. 막힌 뒤에는 실제 계정주인만 다시 로그인을 할 수 있을 테죠. 액세스 토큰만으로는 이런 동작을 하기가 어렵습니다. 또한 이 방법만 있는 게 아니고 말씀하신 문제를 보완하기 위한 여러 기법들이 존재합니다.

JWT에서 refresh token을 사용하는 이유가 뭘까요?

4개의 답변

Q&A 목록