JWT에서 Refresh Token을 사용자에게 전달하는 이유가 궁금합니다.

Question

기본적으로 JWT에서 Access Toekn + Refresh Token을 사용할 때Refresh Toekn을 사용하는 이유가 Access Token이 탈취되었을 때 영향력을 최소한으로 하기 위해 Access Toekn을 짧은 유효시간으로, Refresh Toekn을 긴 유효시간으로 설정하여 사용한다고 알고 있습니다.그런데 Refresh Token을 사용자에게 직접 발급 및 전달해주는 순간 사용자는 토큰 탈취 시 Access Token + Refresh Token을 둘 다 탈취 당한다고 보는데, 그럼 Refersh Token을 사용하는 의미가 없기에 서버에서만 관리를 해주어야 한다고 생각합니다.사용자는 Access Token만을 가지고, 서버에서 해당 토큰이 만료 되었는지 확인 후 만료 되었다면 해당 토큰 및 유효한 사용자인지 검증을 거친 후 서버에 저장된 Refresh Token을 확인하여 재발급해주는 방식으로 사용하는게 맞다고 생각이 들어 회사에서도 이와 같은 방식으로 사용중입니다.많은 분들이 Refresh Token도 쿠키에 담아 전달해주는 방식으로 사용하시던데, 특별히 다른 이유가 있는지 궁금합니다. 아니면 저가 놓친 부분이 있는걸까요?

감독님테스트가하고싶어요 · Answer

만료 되었다면 해당 토큰 및 유효한 사용자인지 검증엑세스 토큰만으로 어떻게 검증하는 방식이 궁금합니다.사용자가 아이디 비밀번호를 다시 입력하나요?엑세스 토큰만으로는 탈취 여부를 서버에서 구분할 수 없을거같다고 생각이 드는데요.refresh token 의 경우 accessToken 보다 노출 빈도가 적으니 탈취 위험성도 그만큼 적다고 하네요.

カワウソ · Answer

사용자에게 전달한게 아니라 클라이언트한테 준거죠ㅎ 브라우저가 활용하라고 준 겁니다.

세브라이드 · Answer

인증 서버는 자물쇠고 토큰은 열쇠라고 생각하세요. 열쇠 잘 관리할 책임은 사용자에게 있는 겁니다...

wharup · Answer

OAuth2라면 브라우저에는 Refresh Token을 발급하지 않는 게 맞습니다.Auth Code 방식에선 Auth Code만 브라우저에 전달되고 Access Token, Refresh Token은 서버에서 관리합니다.반면에 서버가 없는 순수 SPA 등을 위한 Implicit Grant Type에선 Access Token만 발급하고 Refresh Token은 발급하지 않습니다.그런데.. OAuth2와는 조금 다르게 AccessToken의 만료 여부를 판단하거나 그나마 덜 노출하려는 방법으로Refresh Token을 쓰는 케이스가 은근히 많더라고요.. 모든 케이스에 사용할 수는 없겠지만.. 나름 소기의 목적을 달성할 수는 있다고 생각합니다..

신동혁혁혁혁 · Answer

Access token이 만료되었다면 여기서 해당 유저는 검증되지않은 유저로 핀단하고 요청을 막아야하지 않을까요? Access token이 만료되었는데 서버에서 이를 유효한 유저로 검증한다는 부분이 이해가 안 갑니다.그리고 제가 알기로는 access token과 refresh token이 따로 있는 이유는 네트워크 상 노출 빈도 차이로 알고 있습니다. Access token은 api요청시 항상 헤더에 포함되므로 그만큼 통신 과정에서 탈취 가능성이 높습니다. 그래서 짧은 유효기간을 가지게하여 탈취당했을때 위험성을 낮춥니다. 하지만 짧은 유효기간으로 인해 계속해서 유저가 직접 새로운 access token을 발급받게 된다면 너무 불편하다는 문제가 발생합니다. 이를 해결하기 위해 발급되는 것이 refresh token이죠. Refresh token은 유효기간은 길게 유지하되 access token에 문제가 있을 때만 요청하도록해 통신 과정에서 탈취 가능성을 낮춘것입니다.

샘톨 · Answer

해당 토큰 및 유효한 사용자인지 검증을 거친 후 저장된 Refresh Token을 확인하는 작업을 서버가 하기 싫어서요. 수천만 명이 동시에 서비스를 이용할 경우, 감당할 수 없는 업무랑을 고려한다면 서버도 싫어할 만 하죠.

JWT에서 Refresh Token을 사용자에게 전달하는 이유가 궁금합니다.

6개의 답변

기술 목록