Refresh Token을 자동 갱신 vs 만료 시 재발급 받도록 요청 어떤 게 좋을까요?

Question

안녕하세요!현재 스프링 시큐리티랑 jwt를 활용해서 인증/인가를 구현 중에 있습니다.현재 동작방식은 다음과 같습니다.로그인 시 access token과 refresh token을 생성(발급)하여 로그인 성공 응답으로 응답해줍니다.사용자는 access token을 통해 인증을 수행하다가, access token이 만료되면 유효한 refresh token을 이용하여 access token을 재발급 받습니다.문제는 여기서 refresh token이 만료될 때입니다.여러 예제 코드를 찾아봤는데요,어떤 분은 access token을 재발급 요청할 때, refresh token이 만료되었으면 그냥 자동으로 refresh token하고 access token을 새로 다시 발급해주는 형식으로 구현한 반면,어떤 분은 refresh token이 만료되면 다시 인증을 수행하도록(로그인을 다시 수행하도록) 구현한 것도 봤습니다.위 2가지 방법 중 안전을 따지자면 2번째 방법이 안전할 것 같지만, 사용자의 불편함은 어쩔 수 없을 것 같긴 합니다.Q1. 보통 홈페이지에 로그인 세션 만료 시간이 있던데, 혹시 이 부분이 refresh token 유효 시간인가요?? 예를 들면 시간 연장하기를 누르지 않으면 시간이 만료된 순간 새로고침이나 다음 요청 시 사용자 정보를 확인할 수 없어서 로그아웃 처리가 되던데..Q2. 위 2가지 방법 중 어떻게 하는 것이 현명한 방법일까요? (개발에 정답은 없지만 보편적으로 사용되는 방법이 궁금합니다.) 그리고 이유는 무엇일까요?Q3. 혹시 2가지 방법 말고 다른 방법으로 처리하는 좋은 방향이 있으면 알려주실 수 있을까요?감사합니다!

엡실론 · Accepted Answer

만료된 토큰은 없는 거나 마찬가지입니다. 리프레시 토큰이 만료되었을때 자동 재발급 한다는 건 아무에게나 토큰을 발급하는 거와 마찬가지입니다. 따라서 만료된 후에는 다른 인증 방법(사용자 로그인)이 필요합니다.

kenu,전독시 · Answer

저는 액토는 15~30분, 리토는 30일로 설정했던 기억이 있습니다.

르매 · Answer

리프레시 토큰을 왜 만료시키는 걸까요?리프레시 토큰이 탈취되어 도용되고 있을 때, 탈취된 토큰을 사용할 수 있는 최대 기간에 제한을 두기 위한 것입니다. 최소한의 안전 장치인 셈이죠.그런데 이런 장치의 장/단점과 실효성을 생각해 봐야 합니다.만료 기간을 30일로 설정하면, 유저는 매일 방문해도 30일 마다 새로 로그인을 해야 합니다. 30일에 한 번이니 별로 불편한 일이 아닐까요? 그럴 수도 있지만, 오랜만에 로그인하는 것이 더 불편할 수도 있습니다. 이 서비스에서 내가 설정한 패스워드가 무엇이었는지 30일이나 지났기 때문에 더 기억하기 어렵거든요. 물론 패스워드를 자동 완성해 주는 여러가지 도구 (브라우저, 삼성패스 등등)가 보조 해 주겠지만.. 모든 사람이 이런 도구를 사용하는 것도 아닙니다.둘째로, 페이스북 같은 서비스를 보시면 아시겠지만 정말 오랫동안 그것도 연속적으로 로그인하지 않은 상황이 아니면 로그아웃 되지 않습니다. 유저 편의가 중요하다는 거죠.그래서 저는 페북과 같은 정책을 선호하기 때문에 리프레시 토큰을 좀 더 자주 갱신해 줍니다. 얼마나 자주냐구요? 액세스 토큰을 갱신할 때 마다 리프레시 토큰도 갱신해 줍니다. (액세스 토큰 만료는 5분 이상 30분 미만)만약 리프레시 토큰의 만료 기간이 30일이라면.. 유저가 30일 동안 한 번도 서비스를 방문하지 않았을 때만 자동 로그아웃이 되는거죠. 반면에 30일 안에 한 번이라도 접속하면 리프레시 토큰은 그 때부터 다시 30일 연장되는 구조이구요. 추가로 유저가 &#34;모든 기기에서 로그아웃&#34; 과 같은 기능을 사용할 수 있게 제공 - 레디스에 보관한 리프레시 토큰만 삭제하면 되는 간단한 기능 - 하고, 어뷰징이 의심 되는 상황을 노티해 주는 것으로 보조합니다.생각해 보시면 아시겠지만, 리프레시 토큰을 자동 갱신해 주지 않는다고 보안 문제가 드라마틱하게 해결되는 것도 아닙니다. 30일 남은 리프레시 토큰을 탈취/도용 당했는데 30일이 지나서야 자동 로그아웃 된다는게 상황 해결에 얼마나 도움이 되겠습니까..사실.. http only 쿠키와 SSL의 조합을 사용하는 것이 기본 권고 사항이기 때문에, 이런 환경이라면 애초에 토큰이 탈취될 경로가 없습니다. 문제라고 한다면.. 공용 PC에서 로그아웃하지 않고 자리를 떠난다는 정도?거의 일어날 일이 없고, 일어난다 해도 보다 효과적인 해결 방법이 필요하다면.. 결국 그런 일은 챙길 이유가 없는데요. 언급하신 리프레시 토큰의 갱신 방법이 그런 문제 중 하나라고 생각합니다.단, 금융이라던가 몇몇 미션 크리티컬한 성격의 서비스라면 완전히 예외입니다. 고객이 로그아웃에 대한 거부감이 없으니까요.다만 본문의 어조로 보면 이런 종류의 서비스는 아닌 것 같아 드리는 말씀이고, 보안이 중요한 기능을 이용할 때만 별도로 설정한 2차 패스워드로 인증하는 시스템을 붙이는 것을 생각해 볼 수 있을 것 같습니다!

Refresh Token을 자동 갱신 vs 만료 시 재발급 받도록 요청 어떤 게 좋을까요?

3개의 답변

Q&A 목록