지문, 페이스아이디 같은 인증 이후 서버 인증처리 질문

Question

앱에서 인증처리를 아이디 로그인 방식 말고 간편로그인 형식(다른 기능 인증에서도 활용)으로 활용하려고 합니다그런데 관련 플러그인 문서(https://pub.dev/packages/local_auth)를 보는중 궁금증이 생겨 질문 드립니다로그인을 예로 들면아이디 / 비밀번호를 입력해서 검증을 거쳐 인증을 하지만 비밀번호 대신 지문이나 페이스 아이디 같은걸 사용할 때 디바이스에 저장된 내용을 가져다 쓰되 서버에 인증 내용을 안 보내는걸로 확인 했습니다그렇다면 어떻게 서버에서 인증처리를 내리는지에 관해서인데 인증단계를 스킵하는건 말이 안 되는거 같고로컬db에 로그인 정보를 암호화해서 가지고 있고 이후 간편인증이 통과 됐을 때 해당 정보를 가지고 와서 인증시키는 방식으로 하는게 정석적인 방법일까요? 위 방법이 아니면 어떤 형식으로 처리하는게 맞을까요?

더미 · Accepted Answer

간편 로그인 및 생체 인증을 위한 안전한 인증 처리 방식에 대해 설명드리겠습니다.## 일반적인 간편 인증 아키텍처### 1. 초기 인증 방식*기본 흐름:*- 사용자가 최초 로그인 시 아이디/비밀번호로 서버 인증- 인증 성공 후 *안전한 토큰* 발급- 토큰은 암호화된 형태로 디바이스에 안전하게 저장### 2. 간편 인증(생체인증) 처리*보안 단계:*- 디바이스 내부에 저장된 암호화된 토큰 활용- 생체인증(지문/Face ID) 통과 시 토큰 검증- 서버와 통신하여 토큰 유효성 확인[1][8]## 구현 방법### 토큰 기반 인증```dart// 초기 로그인 시Future initialLogin(String username, String password) async { // 서버 인증 var token = await serverAuthenticate(username, password); // 토큰 암호화 저장 await secureStorage.write( key: 'encrypted_token', value: encryptToken(token) );}// 간편 인증 시Future quickAuthenticate() async { // 생체인증 먼저 수행 final LocalAuthentication localAuth = LocalAuthentication(); bool didAuthenticate = await localAuth.authenticate( localizedReason: '계정에 접근하기 위해 인증해주세요' ); if (didAuthenticate) { // 저장된 암호화 토큰 복호화 var encryptedToken = await secureStorage.read(key: 'encrypted_token'); var decryptedToken = decryptToken(encryptedToken); // 서버에 토큰 유효성 검증 요청 bool isValidToken = await validateTokenWithServer(decryptedToken); return isValidToken; } return false;}```### 보안 고려사항1. *토큰 암호화* - 대칭키/비대칭키 암호화 사용 - 디바이스 고유 키와 결합2. *토큰 저장* - SecureStorage 활용 - KeyChain(iOS), KeyStore(Android) 사용[6][8]3. *서버 측 검증* - JWT 토큰 방식 - 토큰 만료 시간 관리 - 리프레시 토큰 메커니즘 구현## 추가 보안 방법### 다중 인증 요소- 생체인증 + PIN 코드- 디바이스 고유 식별자와 결합[6]### 토큰 관리 전략- 정기적인 토큰 갱신- 비정상적인 접근 시 토큰 무효화## 결론*권장 접근법:*1. 최초 로그인: 전통적 인증2. 이후: 암호화된 토큰 + 생체인증3. 서버 측 지속적인 토큰 검증이 방식은 *보안성과 사용자 편의성*을 모두 확보할 수 있는 현대적 인증 아키텍처입니다[8][9].Citations:[1] https://pub.dev/packages/local_auth[2] https://pub.dev/packages/local_auth[3] https://docs.oracle.com/en/applications/jd-edwards/microsoft-windows/9.2/eoiwd/encrypting-and-decrypting-the-password-of-the-local-database.html[4] https://www.vaadata.com/blog/how-to-securely-store-passwords-in-database/[5] https://satoricyber.com/database-security/top-10-database-security-best-practices/[6] https://dev.to/asinkxcoswt/reverse-engineering-the-pin-code-authentication-flow-for-mobile-apps-1kkj[7] https://stackoverflow.com/questions/19799416/how-do-popular-apps-authenticate-user-requests-from-their-mobile-app-to-their-se[8] https://www.baeldung.com/cs/authentication-web-apps[9] https://www.appdome.com/how-to/securing-workplace-apps/enterprise-authentication-and-mobile-sso/use-modern-authentication-in-android-and-ios-apps/

지문, 페이스아이디 같은 인증 이후 서버 인증처리 질문

1개의 답변

기술 목록