https://hoon9901.github.io/springboot-jwt-tutorial3/

• Basic vs Bearer 인증방식이란?

  • https://velog.io/@cada/토근-기반-인증에서-bearer는-무엇일까
  • https://velog.io/@tosspayments/Basic-인증과-Bearer-인증의-모든-것
  • Bearer == 소유자 : “이 토큰의 소유자에게 권한을 부여해줘”라는 의미
  • 사실상 토큰 인증과 동일한 의미로 사용
  • 두 인증 방식의 차이
  • 토스페이먼츠의 경우 어떻게??

• 암호화 키는 왜 필요한가?

  • 토큰의 암호화, 복호화
  • HS256 알고리즘 사용 (32글자 이상) → 이게 뭔가?

Access Token & Refresh Token

• https://velog.io/@chuu1019/Access-Token과-Refresh-Token이란-무엇이고-왜-필요할까

• 유저 신원, 권한 결정 정보를 저장/제공

• 비밀키로 암호화하여 안전

• 탈취당하면 문제. 따라서 유효기간을 두어야하는데 이는 사용자 경험에 좋지 않다

• 이에 대한 해결방안으로 유효기간이 다른 토큰 2개를 둔다 (access token & refresh token)

• 액세스 토큰/리프레쉬 토큰은 보안성, 성능, 사용편의성 등등을 적절하게 타협한 결과

• 두 토큰의 차이

  • Access Token
    • 유효기간은 짧다. (ex. 60일(마이크로소프트), 1시간(아마존)) → 탈취위험 높음
    • 리소스에 대한 실제 접근 권한을 부여하는 역할
    • 주체(subject)가 설정되어 사용자의 권한 정보(claim)을 가지고 있음
  • Refresh Token
    • 유효기간은 길다. (ex. 1년 (마이크로소프트))
    • AccessToken이 만료될 때 새로운 AccessToken을 얻기 위해 사용
    • 사용자 인증 정보가 들어갈 수는 있으나 권한 정보는 필요하지 않음

• 과정

  • 로그인 성공하면 클라이언트는 두 토큰을 서버로부터 받아서 로컬에 저장해둔다
  • API 요청을 할 떄 헤더에 Access Token (AT) 넣고 요청
  • 만약 유효기간이 만료되면 401 에러 (Unauthorized)
  • 그러면 Refresh Token (RT)넣어서 재요청
  • 여기서도 401 에러 뜨면 재로그인 하면 됨
  • accessToken의 유효기간이 끝나면, refreshToken을 사용하여 새로운 accessToken을 발급받음

• 원리

  • 통신이 빈번한 AT 탈취 가능성이 높다
  • 하지만 이는 성공해도 만료시간이 짧아 탈취자는 다시 탈취 시도해야
  • JWT Token 만료시간은 변경 불가능

• RT 탈취 위험

  • OAuth에서는 Refresh Token Rotation을 제시
  • 클라이언트가 Access Token를 재요청할 때마다 Refresh Token도 새로 발급받는 것
  • 이렇게 되면 RT도 만료기간이 짧게 된다

Refresh Token