JWT 암호화 알고리즘 (HS256, RS256) 관련해서 질문드립니다.

Question

안녕하세요 JWT 개념에 대해 공부하고 있는데뭔가 이해한 것 같으면서도 헷갈리는 부분이 많습니다ㅠㅠ도큐먼트랑 구글 검색 내용을 바탕으로 학습하고 제 나름대로 개념을 정리해봤는데요 정확하게 이해한건지 확인할 길이 없어서 질문드립니다. 고수님ㅇ들 한번만 도와주세요..!!!!!!!!!JWT 발급할 때 사용하는 HS256 알고리즘과 RS256알고리즘 관련해서 제가 이해한 내용이 맞는건지 질문드립니다.RS256 알고리즘은 비대칭키 &#43; 해싱 알고리즘으로 jwt 토큰을 발급하는 서버에서는 private key를 사용해서 암호화된 signature를 생성하고, 이 토큰을 validation하는 서버에서는 private key에 대응하는 public key로 signature를 복호화하게 됩니다.복호화에 성공할 경우에는 내가 가지고 있는 public key를 생성한 곳에서 발급된 토큰이 맞다는 걸 검증할 수 있다고 이해했습니다. HS256 알고리즘은 대칭키 &#43; 해싱 알고리즘으로 하나의 secret key가 존재해서jwt 토큰을 발급하는 서버에서 이 secret key를 사용해서 signature 부분을 생성하고,이 토큰을 validtaion하는 서버에서도 동일한 secret key를 사용해서 토큰을 검증한다고 이해했습니다. 그렇다면 OAuth에서 Authorization 서버가 토큰을 발급해주는 서버이고Resource 서버가 토큰을 확인하고 자원을 제공해주는 서버라고 할 때 RS256 알고리즘 방식으로 생성된 JWT 토큰을 사용한다면, Authorization 서버는 private key로 signature를 암호화하고 Resource 서버에서는 public key를 가지고 signature를 복호화해서 성공할 경우 유효한 토큰임을 검증하고, header와 payload를 입력값으로 넣고 얻은 해시값이 복호화한 signature와 같다면 데이터 무결성도 검증할 수 있는 것으로 이해했습니다. HS256 알고리즘 방식으로 생성된 JWT 토큰을 사용한다면, Authorization 서버와 Resource 서버가 동일한 secret key를 공유하고 있어서Resource 서버에서는 header와 payload 그리고 이 secret key를 가지고 signature를 다시 한번 생성해서 전달받은 기존 signature와 동일한지 여부를 판단해서 유효한 토큰을 검증한다고 이해했는데 이게 맞는걸까요?그리고 보통 어떤 알고리즘을 사용하시는지 그 이유ㄴ가 무엇인지 알 수 있을까요???확실하게 이해하고 넘어가고 싶은데 제가 놓친 부분이나 잘못 이해한 부분이 있는지 궁금합니다.!!!

늙은호랑이 · Answer

확실하게 이해할려면Rsa 비대칭키Des 대칭키 알고리즘등 암호화 원천 알고리즘을 이해해야합니다.파생 암호화, 국산 암호알고리즘 등 확실하게 전체를 이해할려면 시간이 많이 걸려요

언리얼 · Answer

RSA 같은 비대칭 알고리즘은 비용이 높아서 개인키 암호화만 하고 디피-헬먼 키 교환으로 전달전문(payload) 개인키로 암호화(대칭키) -> 개인키로 복호화

Giolitti · Answer

대칭키 -> 평문(내용)을 암호화 해야하는 경우비대칭키 -> 평문(내용)의 위변조를 확인해야하는 경우

JWT 암호화 알고리즘 (HS256, RS256) 관련해서 질문드립니다.

3개의 답변

기술 목록