JWT - 토큰기반인증 #1 장점과 작동원리

토큰기반인증은 요즘 가장 핫한 인증개념이라고 할 수 있다.

어떤 장점이 있는지 알아보자.

장점

Stateless 서버

자주 사용하고 많이들 알고 있을 세션-쿠키의 Stateful 서버방식과 다르게 토큰 방식은 Stateless로써 상태를 지니고 있을 필요가 없다.

즉, 서버는 클라이언트의 request에만 의존하여 서비스를 제공하면 되고 잘못된 상태를 저장할 위험이나 그로인한 오류에서 벗어날 수 있다.

조금 더 자세히 이야기해 보자.

HTTP 프로토콜은 상태를 보관할 수 없기 때문에 상태를 보관하기 위해 세션과 쿠키를 사용한다. 서버에서 세션에 상태를 보관하고, 브라우저에서는 쿠키를 놓는다.

쿠키는 브라우저의 메모리에 보관하고(디스크에 저장한게 아니라 브라우저가 꺼지면 지워진다.)

이 때 세션과 쿠키의 상태를 비교하며 클라이언트와 서버가 인터액션하게 되는데, 문제가 몇가지 생긴다.

사실 그 문제들은 Stateful 서버의 문제라고 할 수 있고, 토큰기반인증의 장점은 거의 Stateless서버의 장점이라고 할 수 있다.

CSRF(Cross-Site Request Forgery,XSRF)

사이트간 요청 위조. 예를들어 이미 쿠키가 사용자 정보를 가지고 있기때문에 사용자가 사이트를 벗어나도 공격자에게 노출될 수 있다. 공격자가 비밀번호 수정 URL로 유도하여 멋대로 비밀번호를 바꾸어버린다면 쿠키가 있기 때문에 서버는 신뢰하고 작업을 진행하는 것이다. 토큰 기반인증에서는 헤더 내에 토큰이 포함되어 CSRF를 방지할 수 있다.

쿠키는 단일 도메인 및 서브 도메인에서만 작동하도록 설계되어 있기 때문에 여러 도메인에서 관리하기 어렵다. 하지만 토큰기반인증은 토큰만 유효하다면 어디서든 작동할 수 있다.

서버 확장

프로젝트가 커져서 서버가 여러대 생겼다고 했을 때 서버1에 세션이 저장되어 서버2에 간 호출은 unauthorized가 날 수 있다. sticky세션(같은 서버에 세션을 계속 연결시키는 방식)을 사용하여 해결할 수 있지만, 이런걸 고려하지 않아도 토큰 기반방식은 자연스럽게 해결된다.

다른 어플리케이션과의 인터액션

OAuth에 대해서 들어보았다면 다른 앱에서도 페이스북 등등의 서비스를 통해 로그인하는 방법에 대해서도 알것이다. 페이스북이 토큰기반인증방식을 사용하기 때문에 다른 서비스에서도 접근 할 수 있는것이다.

작동원리

클라이언트가 로그인 요청을 한다.
서버에서 로그인 정보를 검증한다.
검증이 완료되면 서버는 클라이언트에게 signed토큰을 발급한다.
클라이언트는 토큰을 저장해두고 서버에 요청할 때마다 토큰을 함께 전달한다.
서버는 토큰을 검증하고 응답한다.

2023년 새해에는 성장하고 함께하고 싶다면?

Pre A 단계 이상의 스타트업 C 레벨들이 모여서 커뮤니티를 만들었습니다. 같이 스터디하고 친해질 일잘러를 찾습니다.