23.12.08 TIL

프로젝트 중 담당 기능은 아니지만 JWT 가 왜/어떻게 되는지 궁금해서 공부해보자

JWT는 비밀키를 이용하여 서명된 JSON 형태의 데이터이다. 여기에 사용자 인증 정보를 넣어서 토큰을 발급해주면 추후 인증이 필요한 리소스에 접근 시 사용자가 서버에 서버에 토큰을 포함해서 전송하여 서버에 토큰을 포함해서 전송하여 서버측에서는 복잡한 인증 과정 없이 토큰만으로 사용자를 인증 및 인가할 수 있는 것이다.

JWT는 헤더, 페이로드, 서명 세 가지 정보를 base64로 인코딩한 값을 콤마('.')를 사이에 두고 이어붙인 형태로 생성된다.

• 헤더 : JWT 서명에 사용된 알고리즘 정보
• 페이로드 : 토큰에 담긴 주체, 만료일, 생성자 등
• 시그니처 : 헤더와 페이로드를 각각 base64로 인코딩한 후 콤마로 이어붙이고, 헤더에 명시된 알고리즘으로 암호화한 값을 담음

이때 비대칭키 암호화 방식을 사용하기 때문에 서버측에서 이 토큰을 받아서 시그니처를 복호화하여 디코딩하는 방식으로 토큰의 유효성을 검증할 수 있다.

Refresh Token, Refresh Token

위의 방식으로 받은 토큰은 언급했듯이 서버 측 리소스에 접근할 때 클라이언트 본인을 인증할 수 있는 액세스 토큰으로 동작한다. 그런데 이 JWT는 stateless한 방식이기 때문에 서버측에서 이 토큰을 가지고 있는 클라이언트가 정말 클라이언트 본인이 맞는지 확인할 수 없다는 문제점이 있다.
그래서 이에 대한 보안 대책으로 refresh token이라는 추가적인 토큰을 활용할 수 있다. 이 토큰은 사용자 인증이 아닌 새로운 토큰을 발급받는가?
이는 JWT 유출문제를 해결하기 위한 것!