JWT 토큰만료 시간을 짧게하여 보안문제를 해결한다?

Question

안녕하세요.나른한 일요일 오후입니다 ㅎㅎJwt 인증과 관련하여 클라이언트에서 발급받은 토큰을헤더 authorize bearer 형태로 적나라하게 명시하여 통신을 하는데,,,인증을 담당하는 토큰이다 보니 민감하게 다루어야할 것으로 생각이되거든요단지 토큰만료 시간을 짧게 5분? (구글링시에 5분 정도로 잡으면 문제없다는 식으로 다수 기재해놓더라구요..) 으로 설정한다고 해서이게 보안문제가 해결된다고 보는게 맞는건가요..??

김을동 · Accepted Answer

브라우저에 임시저장된 토큰 자체가 탈취되는 상황 자체는 악성코드 감염이나 CSRF나 패킷 가로채기 정도라고 떠오르는데 그게 가능한 개발 상태나 환경이면 뭘 해도 뚫린다고 생각하시면 될 것 같아요당장 네이버 쿠키만 해도 잘 복사해서 다른브라우저에 넣으면 로그인 상태로 됩니다. 토큰방식은 대부분 api방식에 사용되고 꼭 브라우저에 한정되지 않으니 어떤 경로로든 저장방법의 문제로든 탈취우려가 있을 수 있으니짧은 라이프사이클로 영구적 탈취를 방지하는데 의의가 있다 정도로 보시면 될듯

엡실론 · Answer

질문의 요지가 뭔지 모르겠는데, 짧게 해도 여전히 헛점이 있지 않냐 라는 질문인가요? 아니면 짧게 하는 것과 보안성의 연관성을 전혀 모르겠다는 질문인가요?전자라면 "해결"이 뭐냐에 따라 다르죠. 모든 기술이 그렇듯 현재 쓰이는 많은 토큰 방식도 완벽하지는 않습니다. 애초에 완벽한 보안이 존재할 수 있나 싶기도 하고요. 단지 이 정도면 지금으로선 거의 안전하겠다는 거죠.

캐티 · Answer

[1]의 구조와 이유를 알고 있을 것이고 물론 이런다고 해결될 리가 있겠나요.토큰을 발급 받은 아이피 주소를 포함하여 보안 처리를 하는 것이 오랜 관행인데요. NAT 환경인 경우나 VPN, 패스포인터 등을 사용하는 경우 의미가 없을 것이고요.만능은 존재하지 않는다고 보면 좋지 않겠나요.[1] JSON Web Token Introduction - jwt.io

xml개발자 · Answer

보통 아이피 + 맥아이피 + 브라우저 정보 수준이면 됩니다.

olivahn · Answer

적나라하게 보이지 않죠. HTTPS가 아닌 HTTP를 쓴다면 그럴수 있겠지만요 ㅎㅎ

JWT 토큰만료 시간을 짧게하여 보안문제를 해결한다?

5개의 답변

기술 목록