현업 jwt 탈취 방지

Question

jwt의 탈취 예방법 중 블랙리스트, RTR등이있는데 이를 사용했을 때 jwt의 특징인 stateless 성질을 잃고있다고 느꼈습니다.실제 현업에서는 jwt의 탈취 예방을 위해서 어떤 방법을 사용하는지와 포트폴리오에 올릴 배포 프로젝트에서 jwt에 사용 할 사용자의 정보를 이메일까지 저장해도 괜찮은지, 아니면 사용자의 어떤 정보들을 토큰에 저장하는지 궁금합니다.

오롤롤롤롤히히 · Answer

토큰 만료 시간을 짧게 설정하는게 일반적인거 같네요jwt에 담을 정보는 최소한으로유저를 식별할 정도로만아니면 네트워크 트래픽에도 영향을 줄 수 있어요

팩트폭행범 · Answer

이악물고 탈취하려고하면 막을 수 있는 방법 없습니다보편적으로 방지책으로는 리프레시토큰을 사용합니다하지만 절대적이진않죵 ㅎ

샵D · Answer

보안을 위해서라면 stateless를 포기해야 합니다. 그래서 stateless JWT에 대해서 부정적으로 여기는 사람도 많고, 저도 부정적으로 여깁니다. 보안을 지키면서 API 친화적 인증 방법은 임의의 토큰을 발행해서 일일이 DB에 검증하는 방법입니다.

94backend · Answer

이메일 이런건 저장하지마시고,유저를 특정할수 있는 유니크한 조합을 구성해서 넣어두세연 ㅋ.ㅋ보안이 신경쓰이시면 토큰의 보안 보다는 탈취가 안되게끔 웹취약점을 더 신경을 쓰시는게 좋을 수 있습니당

코딩하는 두루미 · Answer

저도 아직 해본적은 없지만 jwt와 session을 상호 보완적으로 사용해도 괜찮겠다 라고 생각은 해본적이 있습니다.

르매 · Answer

웹이라고 가정하면 ssl과 http only 쿠키 사용으로 토큰 도난은 없다고 간주하는게 관례입니다. ssl (https) 은 패킷 스니핑을 막아 주고, http only 쿠키는 서버에서만 쿠키를 읽을 수 있기 때문입니다. 그다지 복잡할 문제는 아니네요.현업 기준으로 액세스 토큰의 만료를 짧게 가져가고 리프레시 토큰을 사용해서 갱신하는 것은 딱히 토큰 도용에 대한 대비책이라고 보진 않습니다. 그 상황이면 어차피 리프레시 토큰도 털린 거니까요.앞서 말씀드린 두 가지 사항으로 토큰 탈취를 막으면서.. 기타 보안 문제는 다른 방법을 조합하면 해결할 수 있습니다.

현업 jwt 탈취 방지

6개의 답변

Q&A 목록