JWT의 궁금한점..

Question

AccessToken에는 회원의 정보를 담아서 발급하는 토큰이라 회원정보가 들어있어서 기간을 짧게 (평균 5~10분정도) 만들고,AccessToken이 만료되면 RefreshToken을 이용해서 AccessToken을 새로 발급을 하는데...이런저런 글을 보면 AccessToken은 보안상 개인정보가 있어서 위험하기 때문에 RefreshToken을 발급한다는 내용이 대부분입니다.그런데 다르게 생각을 해 보면 RefreshToken이라는 것은 회원 정보만 안들어가있을 뿐.RefreshToken이 탈취되면 이 토큰을 이용해서 AccessToken을 발급받을 수 있는 구조인데..이러면 AccessToken이나 RefreshToken이나 모두 보안상 위험한 것 아닌가요??제가 AccessToken과 RefreshToken을 제대로 이해하지 못하고 있어서 그럴수도 있는데..제가 이해한 바로는 RefreshToken은 유효기간이 훨씬 더 길어서 어차피 RefreshToken을 탈취 당해도 RefreshToken을 이용해서 AccessToken을 발급받을 수 있는데 이렇게 되면 AccessToken이나 RefreshToken 둘 다 모두 위험한 구조 아닌가요???오히려 RefreshToken의 유효기간이 일주일에서 30일간 유지되는것들도 있는 것 같은데 그러면 RefreshToken이 더 위험할 것 같은데..

집킨 · Answer

그건 사용자의 id/pw 가 탈취되면 위험한거 아니냐는 질문이랑 똑같습니다jwt는 stateless한 통신에서 효율적으로 사용자를 인증/인가 하기위한 수단이라서 토큰 탈취에 대한 보안 문제는 별개입니다단, 토큰에 들어 있는 정보의 보안은 토큰을 만들때 적용되어야겠죠

카카오콘 · Answer

AccessToken 에도 회원과 관련되어 중요한 정보는 "담지 않습니다."짧게 만드는 이유는, 만약 탈취 되었다 하더라도 계정에 접근할 수 있는 시간을 최소한으로 줄이기 위한 조치일 뿐, 그 자체로 안전한 방법임을 의미하지는 않습니다.애초에 보안이 매우 중요하여 단 하나의 리스크도 용납할 수 없는 경우는 JWT가 아닌 다른 방법을 찾아보겠지요.사용의 편의성과 보안의 리스크를 적절히 배분한 개념에 가깝습니다.그런 관점에서 봤을 때, 그럼 Refresh Token를 탈취하고 만료될 때마다 재발급 받으면 되지 않느냐?맞습니다.그런데 이건 많은 분들의 의견이 있습니다만, 제 의견을 말씀드려보면Refresh Token 만큼은 DB를 필수로 조회합니다.즉 탈취 당했다 하더라도 유효하지 않는 Token임을 가려낼 수 있습니다.= 바꿔버리면 그만이다. 라는 말 입니다.물론 Access Token도 같은 개념을 적용할 수 있습니다만, 그럼 사용 의의를 반으로 쪼개버리는거라이 역시 보안과 편의성을 적절히 고려하여 시스템에 적용시키면 됩니다.

북극곰은콜라 · Answer

탈취되는 상황을 조금 더 고려하면 이유가 된다 생각합니다.pc자체가 뚫려서 브라우저가 털리는 상황은 다른 보안 조치를 믿어야하는 상황이고, 토큰의 탈취는 보통 네트워크상에서의 탈취를 고려한 상황으로 생각합니다.따라서 access토큰은 refresh토큰보다 네트워크상 노출 빈도가 크기 때문에 짧게 잡고 refresh는 조금 더 길게 잡는 이유가 됩니다.사실 token방식 자체가 보안성이 완벽하다고 말할 수 없습니다. 당연히 매번 철저한 시큐어통신으로 하는게 제일 좋겠죠하지만 이는 편의성 및 성능이 문제가 있기 때문에 보안과 성능,편의 사이의 트레이드 오프를 진행한 결과라고 보시면 될꺼 같습니다.

르매 · Answer

http only 쿠키에 저장하고 https를 사용하면 합리적인 수준에서 탈취되지 않는다고 보고 jwt를 사용합니다.리프레시 토큰이 액세스 토큰의 유출을 고려한 것도 맞지만, 보다 실질적인 이유는 두 토큰의 성격을 생각해 보면 답이 나옵니다.액세스토큰은 DB에 저장하지 않지만 리프레시 토큰은 DB에 저장하는 점입니다.예를 들어 공용 pc에서 로그아웃하는 걸 깜빡했다고 합시다. 리프레시 토큰 없이 액세스 토큰만 사용한다면... 원격지에서 강제 로그아웃 시킬 방법이 없습니다. 백엔드 서버는 액세스토큰의 시그니처만 검증하고 애초에 액세스 토큰은 DB에 저장되지 않기 때문이죠. 즉, 액세스 토큰이 만료되길 기다릴 뿐입니다.하지만, 리프레시 토큰은 DB에 저장되어 있기 때문에 강제로그 아웃이 필요하면 DB에서 토큰을 삭제하면 그만입니다. 이런 기능을 유저에게 제공할 수 있고 어드민에도 넣을 수 있습니다.

JWT의 궁금한점..

4개의 답변

Q&A 목록