accessToken과 refreshToken에 대해

Question

안녕하세요 accessToken과 refreshToken에 대해 생각을 정리하던중에 의문이 생겨서 질문 드립니다.일반적으로 로그인 플로우를 보면, 로그인 성공시 서버가 클라이언트에서 access와 refresh 토큰을 전달하고, db에 refresh를 저장합니다.그후에 access가 만료되면 클라는 refresh를 서버로 보내고, 서버는 해당 refresh와 DB의 refresh를 검증하고 재발급합니다.여기서 문제는 access가 탈취되면, 만료시간까지 악성유저가 사용할 수 있다는 문제와 refresh가 탈취되면 악성유저는 refresh 만료 전까지는 access를 발급받을 수 있다는 점입니다.이때 저는 이런생각이 들었습니다. 그냥 재발급할때 access랑 refresh 둘다 검증에 이용하면 안되나?그래서 저는 access와 refresh 의 payload에 userId를 넣고, 재발급 시에 두가지 토큰 다 전달받아서 userId를 비교해서 같으면 재발급을 해주자는 생각을 하게됐습니다. 하나의 토큰이 아닌 두가지 토큰 다 탈취를 해야 재발급이 되니 위에 서술한 방식보다는 좀더 안전하지 않을까 싶었습니다.근데 이렇게 구현한 글을 못찾겠더라구요..? 제가 못찾은건지 이렇게 구현하는 것에 문제가 있는건지 궁금합니다.. 그리고 또 한가지 궁금한 점이 refresh를 보통 redis에 저장해서 사용을 하는데, 왜 그렇게 하나 싶은 생각이 들더군요.우선 jwt는 무상태성을 띄니까 서버에서 관리를 안하는게 맞는데, 단지 재발급 시에 요청으로 넘어온 토큰과의 비교를 위해 서버측 DB에 보유하고 있다는게 잘 이해가 안갑니다. 사실 클라이언트 측에서 쿠키로 보유하고 HTTP Only, secure, samesite 등의 보안 조취를 취해주는 방식으로 관리하는것이 서버측의 DB에 보유하고 있는것과는 크게 다를점이 없다고 생각합니다. 이부분에 대한 의견도 공유해주시면 감사하겠습니다.!글을 정리하면재발급시에 access, refresh 두개 토큰 다 받아서 두 토큰의 payload를 검증후 재발급해주는게 좀더 보안적으로 좋지 않나요?refresh Token을 DB에 저장하는 방식 vs 클라이언트에서 쿠키로 가지고 있는 방식의 장단점 차이?

kenu,전독시 · Answer

MFA 가야죠.

엡실론 · Answer

access token 과 refresh token을 둘다 검증큰 문제가 될건 없으나, 큰 득이 될 것도 없습니다. access token 은 성격상 refresh token보다 취약한데다, 이미 만료까지 된 토큰이죠. refresh token이 탈취된 상황이라면 access token은 애진작에 탈취 되었을 겁니다.refresh token db 저장 vs client 저장이 둘은 용도가 매우 다릅니다. 일단 refresh token이 다른 서비스가 아닌 해당 서버에 접근하기 위한 토큰이라고 가정할때, db에 토큰을 저장하는 건 토큰 무효화를 위한 것입니다. 토큰이 탈취된 것 같은 의심이 들때 stateless방식으로는 이미 발급된 토큰을 무효화 할 수가 없고, db에 토큰이 유효한지를 저장해야합니다.

개발잡부 · Answer

너무 깊게 생각하신거 같아요. JWT는 보안성도 보안성이지만 위조방지라는 효과 &#43; 세션으로 관리시 스케일아웃의 어려움 때문에 사용한것입니다. 즉 편해서 사용하는거지 보안성이 강해서 사용하는것이 아닙니다. 물론 보안성이 아예 ZERO면 그것도 문제라서 뭐 cookie의 보안정책이니 accessToken과 refreshToken과의 분리 등 취약한 보안을 극복하기 위한 다양한 방법이 있는것이지만 근본적으로 jwt만으로 모든 보안의 위협을 해결할수없습니다. 질문자님은 jwt가 refresh토큰까지 탈취되었을경우까지도 염두해두시고 계신거같은데, 그건 jwt로 해결하면 안되고 다른방법으로 해결해야하는거죠.

accessToken과 refreshToken에 대해

3개의 답변

#accesstoken 목록