JWT Stateless 질문과 refresh Token 질문

Question

제가 알기론 jwt검증방법이 클라이언트가 accesstoken을 보내면 그걸 디코딩하여 헤더와 페이로드를 얻어낸 다음 서버는 서버안에 있는 시크릿키와 알고리즘으로 디코딩된 헤더와 페이로드를 조합해서 새로 만든 jwt와 클라이언트가 보낸 jwt의 시그니처를 비교하는걸로 알고 있습니다. 그래서 db에 접근하지 않아 stateless를 유지하는 걸로 생각했습니다.근데 보통 코드들을 보면 db에 token들을 저장해서 비교하더라구요?? 그러면 statefull이라고 생각하는데 참 어렵네요,,구글링을 해보니 이거에 대한 답은 없다고 하는데 여러분들은 어떻게 생각하시는지 궁금하네요,,refresh token질문은access토큰이 탈취당했을 시의 위험성을 대비하기 위해 refresh token을 사용하는데 refresh token이 탈취당한다면 똑같은 결과가 나오는 것이 아닌가요? 오히려 유효기간이 더 길어서 더 위험할 것 같은데 혹시 알려주실 분 계실까요???

charlatan · Answer

이해하고 있는 것이 맞습니다. JWT는 stateless이므로 서버에서 사용자의 연결정보(세션정보)를 가지고 있을 필요없이 매요청마다 사용자가 보내오는 JWT를 검증하면 됩니다.JWT를 이렇게 인증용으로 사용하는 것은, 다시말해 사용자가 로그인을 해서 발급되는 JWT는 로그인을 거쳐야 발급되는 것이므로 인증의 목적입니다. 물론 인증을 얻어야 데이터 접근 권한도 부여되는 것이긴 합니다.하지만 로그인해서 얻은 최초 JWT, 그러니까 access token은 대략 1-2 시간이 지나면 만료가 됩니다(정하기 나름이지만). 그럼 access 토큰을 보내도 서버에서 거부하고 다시 로그인을 요구하겠죠? 사용자는 재로그인을 해야하는데 이게 불편하니까 브라우저에 httpOnly로 저장해놓은 반영구적으로 쓸 수 있는 refresh 토큰을 보내서 다시 새로운 access 토큰을 받아서 쓰도록 하는 것입니다. 하지만 이런 과정을 stateful이라고 부르지 않습니다. 그냥 access 토큰을 새로 받기 위한 방식이고 계속 stateless하게 JWT를 쓰는 것입니다.그런데 refresh 토큰을 DB에 저장해놓고 그것을 비교한다? 보통 access, refresh 토큰 이런 용어가 나오면 OAuth2 스펙을 떠올리는 경우가 많아서 그걸 기준으로 생각해보겠습니다. 스펙에 의하면 인증 서버와 리소스 서버가 물리적으로 다르게 설정되어 있습니다. 다시 말해서 토큰을 발급해주는 인증서버와 그렇게 발급받은 토큰을 사용해서 접근해야 하는 리소스 서버가 다른 겁니다. 인증서버는 당연히 refresh 토큰을 알고 있어야 새로운 access 토큰을 발급해줄 수 있습니다. 그리고 리소스 서버는 access 토큰 - JWT만 확인하면 됩니다. 리소스 서버는 stateless 하게 데이터를 허가받은 사용자에게 제공할 수 있습니다. 만약 인증과 리소스 서버가 하나라면? 그렇게 되면 지금 질문한 것과 같은 의문이 생기게 되겠죠? 혼란스러워지는 겁니다. 하지만 어느 부분에서도 stateful은 없습니다. 그냥 토큰을 주고 받는 일만 생깁니다.OAuth2에서 refresh 토큰은 사용자에게 다시 물어볼 필요없이 제3자가 계속 그 사용자의 정보를 리소스 서버로부터 가져오기 위한 용도입니다. 그러니까 refresh 토큰은 인증의 용도가 아닙니다. 즉 브라우저에 저장할 이유가 없는 겁니다. 탈취 걱정을 하는 것은 당연한 의문입니다. 그래서 httpOnly로 막는 것이죠.구글 OAuth2 인증을 제공할 때 access_type&#61;offline으로 주어야 refresh 토큰을 발급합니다. offline의 의미는 바로 사용자가 오프라인이라고 해도, refresh 토큰을 제3자 서비스 제공자가 계속 가지고 있다가 구글의 리소스 서버에 접근할 수 있다는 말입니다. refresh 토큰은 마치 개인정보 제3자 제공 동의와 유사한 것으로 이해하는 것이 좋지 않을까 싶네요. 인증용으로 생각하니까 누가 훔쳐갈까 걱정하면서 온갖 고민들을 하면서 브라우저에 심는데... 제가 보기엔 쓸데없는 것 같아요. &#x1f602;

슈퍼복붙러 · Answer

보안 요건을 충족하기 위해선 결국 세션과 DB를 사용할 수 밖에 없습니다. 사용자의 로그인 정보가 유출되었다고 의심될 경우, 이미 발급된 토큰을 파기하기 위해선 DB를 사용해야죠.

장독깨기 · Answer

access token 은 stateless, refresh token 은 statefull이렇게 생각하면 될 거 같습니다.그니까, 액세스 토크은 토큰 자체로 검증 하고, (탈취에 대비할 수 없음)리프레쉬 토큰은 DB 에서 관리하고 DB 를 통해 검증 합니다. (탈취에 대비할 수 있음)그리고, 취준생이면 이 부분 너무 고민하지 마시고, 진도 나가세요. :)

JWT Stateless 질문과 refresh Token 질문

3개의 답변

Q&A 목록