node.js로 jwt인증에서 access token과 refresh token 문제

Question

안녕하세요.node.js를 공부하며 jwt인증을 연습중인 초보입니다.jwt인증에 access token(ATK)과 refresh token(RTK)방식을 적용해보려고 하는 중 입니다.ATK은 쿠키에 저장하고, RTK은 DB나 redis에 저장하여 관리하는 방법을 선택했습니다.-> ATK가 만료되면 ATK값으로 RTK를 찾아 만료 여부를 확인하고 ATK와 RTK를 재발급하는 방식입니다. 근데 저는 한 가지 문제가 스스로 해결되지 않아. 여기에 글을 남겨서 조언을 좀 얻으려고 합니다.ATK은 사용자 인증을 위한 토큰이고, 수명을 짧게 하고RTK은 수명이 보다 길고, ATK을 재발급하기 위한 토큰으로 알고 있습니다.그럼 ATK이 만료되었다면 어떤 근거를 가지고 RTK으로부터 재발급 받아야 하는건가요?보안성을 높이기 위해 토큰을 두 가지로 나누어서 사용중인걸로 아는데만약에 악의적인 사용자가 ATK을 탈취했다고 하면 단순히 ATK이 만료되었다는 이유로 재발급하면 안될 것 같고.ATK과 RTK을 둘 다 쿠키에 저장하여 ATK이 만료되었을 때, RTK을 확인하는 방법은뭔가 두 종류의 토큰을 한 곳에 두고 관리하는게 안전한 방법인건가? 라는 생각도 듭니다.(왜냐하면 요청 헤더를 봤더니 쿠키 정보를 모두 볼 수 있어서 ATK가 탈취된다면 RTK도 당연히 같이 탈취될거라 생각합니다. )제가 좀 더 이해가 필요한 부분이 많을거라 생각됩니다.답변 주시면 작은 조언이라고 감사히 듣겠습니다.

특이점이 왔다 · Answer

https://www.youtube.com/watch?v=XXseiON9CV0&t=355s강추! JWT토큰이 탈취 되면 어떤 식으로 처리하는지 까지 설명하고 재미는 덤입니다

charlatan · Answer

oauth2 인증이 나올때마다 항상 드는 생각인데 원래 인증(authentication)과 허가(authorization)을 구분해야 한다고 생각합니다. oauth2를 인증에 이용하려한다면 ATK만으로 충분합니다. 그러니까 구글에 로그인 성공해서 발급된 코드로 ATK를 얻을 수 있으면 인증은 완료된 것으로 봐야죠.RTK는 사용자 정보를 지속적으로 접근하기 위해 필요한 것입니다. 다시 말해서 RTK는 백엔드에 저장되서 사용자가 로그인하면 RTK를 가지고 사용자 정보를 가져오는 용도인 것입니다. RTK가 쿠키에 저장할 이유가 없는 것이죠.이런 생각의 근거는 스프링 시큐리티 oauth2 문서나 oauth2 자체 스펙을 봐도 인증을 위해서는 ATK만 있으면 되고 RTK는 옵션입니다. RTK는 oauth2 구조에서 제3자인 클라이언트(사용자 브라우저가 아님)가 지속적으로 구글같은 곳에 저장된 사용자 정보에 접근하기 위한 용도라고 설명합니다. oauth2를 클라이언트로 사용할 때는 인증을 아이디 패스워드로 해도 상관이 없는 것이죠. oauth2 관련 질문이 나올때마다 ATK와 RTK의 처리문제가 아리송해지는 것은 인증과 허가를 뒤섞어 생각하기 때문이라고 봅니다. 질문 내용도 이런 맥락이라고 보이네요.

node.js로 jwt인증에서 access token과 refresh token 문제

2개의 답변

#accesstoken 목록