JWT 중복 로그인 방지 가능한가요?

Question

안녕하세요. 유지보수 중인 사이트가 있는데요. 보안심사에서 중복 로그인 막으라는 리포트를 받았습니다..혹시 JWT(토큰)도 중복 로그인 방지가 가능한가요?생성(발급)된 토큰을 DB에 저장 후 두번째 로그인시 체크해서 확인 후 거부하는 방식으로 해야할지....전혀 감이 안잡히네요..

장독깨기 · Accepted Answer

아, 토큰의 역할에 대해 아직 이해가 조금 부족해 보입니다. :)로그인을 한번도 한적이 없는 토큰이 없는 깨끗한 A 컴퓨터 와 B 컴퓨터가 있습니다.장독깨기가 A 컴퓨터에서 로그인을 합니다.그럼 서버는 1이라는 토큰을 발급하고 회원테이블에 1을 기록합니다. A 컴퓨터에는 1이라는 토큰이 있고, 이 토큰으로 로그인 상태를 유지하며 웹 사이트를 사용합니다.로그인 상태를 유지한다는 건 토큰 값이 유효 하다는 뜻 입니다.회원테이블에 1라는 토큰 값이 있으니 유효합니다. 장독깨기가 B 컴퓨터에서 로그인을 합니다.그럼 서버는 2 라는 토큰을 발급하고 회원테이블에 2 를 기록합니다. B 컴퓨터에는 2라는 토큰이 있고, 이 토큰으로 로그인 상태를 유지하며 웹 사이트를 사용합니다.역시 이 토큰 값도 회원테이블의 토큰 값과 일치하니 유효합니다. 그러다가, 장독깨기가 다시 A 컴퓨터에서 웹사이트를 사용하려고 합니다.그럼 어떤 일이 발생할까요. A 컴퓨터에 있는 1이라는 토큰으로 웹사이트를 사용하려고 하는데,이미 회원테이블에는 2라는 토큰 값이 있습니다. 토큰 값이 달라진거죠.그럼 서버는 토큰 값이 다르니, 다시 로그인을 하라고 합니다. 즉, 로그아웃이 된 거죠. 그러니까, 토큰 값이 다르면 로그인 실패가 아니라 로그인을 새로 해라는 뜻이 됩니다.검색을 해서 좀 더 자세하게 알아 보는게 좋겠습니다. :)

도미다 · Answer

중복 로그인방지는 서버인스턴스가 여러개라면 하나의 의존성을 갖는 저장소에서(꼭 db가아니더라도) 중복로그인 체크로직을 만들 수 밖에 없지 않나 싶습니다.

Dierslair · Answer

token 소유자와 토큰 식별자를 DB에 저장해서 관리하는 수 밖에 없겠네요..

Llux lux · Answer

중복 로그인이라는게1번 브라우저에서 로그인 후 사용중2번 브라우저에서 로그인 후 현재 로그인 된 기록 확인1번 브라우저 로그아웃 시킴.이렇게 구현도 가능합니다.방식은 보안 담당자와 논의하고 구현하세요Db에 로그인 로그가 필요하겠죠

낭군이 · Answer

Llux lux님 네. 말씀하신대로 1번 브라우저 사용자를 로그아웃 시키고2번 브라우저 사용자를 로그인 허용....하는 식으로 개발하라고 하더군요..

낭군이 · Answer

Llux lux님 말씀하신.. 방식은 세션 사용할때 처리하는 방법 아닌가요?토큰도 강제로 로그아웃 시킬 수 있나요?

장독깨기 · Answer

새로 인증을 받으면 기존에 발급한 토큰을 무효화 시키면 될 거 같습니다.

낭군이 · Answer

장독깨기 님먼저 답변 감사합니다.한번 발급된 토큰을 무효화 시킬 수 있나요?...

장독깨기 · Answer

무효화하라 해서 별개 아니구요. ㅎ그 토큰 유효성 검증을 본인이 하실거잖아요.리젝하면 되는거죠. :)물론 다른 경로로 로그인 했으면 이미 발급한 토큰은 무효하다는 걸 체킹 해둬야 겠죠.

낭군이 · Answer

장독깨기 님아..이해가 잘 안가지만..답변 감사합니다!

장독깨기 · Answer

아, 좀 단순하게 말씀드리면, 최종 로그인 한 사용자가 유효한거니까요.회원테이블에 최종 발급한 토큰을 저장해 버리면, 이전에 발급한 토큰은 없어지는거죠.그럼, 이전 로그인 사용자가 뭔가 자원을 액세스 하려고,액세스 토큰을 붙여서 요청을 합니다. 근데 디비에 없어요. 리젝이 되죠.클라이언트가 리프레시 토큰으로 요청을 하려고 해요(이럼 안되지만, 암튼..). 그래도 리젝이 되겠죠.그럼 클라이언트가 할 수 있는건 재 인증을 받아야 하는거죠.그니까, 최종 인증 토큰을 디비에 저장해두고, 요청이 오면 디비에 조회해서 검증하면 간단하게 됩니다.제가 좀 어렵게 말씀드리는지 몰겠네요. ㅋ 암튼 디비에 저장해두고 체크하면 됩니다. :)

낭군이 · Answer

장독깨기 님답변 감사합니다.최종 발급한 토큰을 회원 테이블에 저장해서 로그인시 조회해서토큰값이 틀리면 로그인 실패! 처리하라는 말씀이죠?근데 그러면 최종 토큰이랑 새로 생성되는 토근값이 달라서 ..영원히? 로그인이 안되는거 아닌가요?

낭군이 · Answer

장독깨기 님답변 감사합니다.다음부터는 더 공부하고 질문 글 올리겠습니다.정말 감사합니다. 행복하세요.

keoerd1 · Answer

안녕하세요. OAUTH2에 관해 심층적으로 공부하다, 이 글이 검색이 되어 코멘트 남깁니다. 장독깨기님의 방법이 해결책은 될 수 있으나 JWT의 장점을 버리는 방법이며, 그럴거면 JWT를 쓰지 않고 랜덤한 문자열로 access token을 발급하는게 낫다고 생각합니다. 실제로 글 설명에 1이란 토큰과 2라는 토큰으로 예를 드셨는데 랜덤한 문자열로 token을 발급받는걸 예로 드신게 아닌가 싶네요. jwt토큰은 header.payload.sinature 의 방식으로 되어있고 payload에 인증에 필요한 최소정보가 담겨있어 서버에서 토큰검증시 db에서 굳이 조회를 안할수 있는 장점이 있는건데, 한번의 리퀘스트시마다 헤더에 담긴 토큰값을 db 혹은 인메모리디비를 통해 유효성을 체크한다면 위에 말한대로 장점을 버리는 방법이기 때문입니다. 물론 현재 jwt로 구현이 되어 있는 인증시스템에 가장 빠르게 중복로그인을 막을수 있는 방식에는 장독개기님의 의견에 동의하지만 토큰이 길어져 시스템의 효율성이 떨어지는 문제까지 감수하면서 위의 방식대로 하는건 비효율적인듯 합니다. 인증방식이 세션이 아닌 토큰 방식이 갖는 장점에 대해서도 알아보심이 좋을듯하네요. 제 의견에도 오류가 있을수 있으니 다른 의견 있으신 분은 남겨주시면 공부가 되겠습니다.

프라이 · Answer

keoerd1 혹시 해결책도 제시해주실수 있을까요?저같은 대머리 중생은 아무리 생각해도 해답이 떠오르지가 않..

jangisaac-dev · Answer

프라이위에분 말씀 정독하다보니 질문이 되려 이해되지 않아서 지나가다가 한말씀 적어봅니다 (keoerd1 님의 의도와 다분히 다를 수 있는 개인적 의견인점 참고부탁드립니다.) JWT를 사용하면서 중로그인을 막을 수 있는 방법중 가장 빠르게 막을 수 있는 방법은 DB, 유저 테이블에 적어두고 이를 체크한다는 위의 내용입니다.하지만 해당내용이 JWT의 목적성에 있어서 좋은 방향성을 가지지는 못하니,토큰방식과 세션방식에 대해 조금더 공부를 해보시고 목적을 제대로 정하신 이후 어떤 방식을 채택하실 것인지 한번 더 고민해보시는게 좋겠다. 라는 내용으로 보입니다. 따라서 말씀해주신 해결책이라는부분은 장독깨기님이 설명해주신 테이블에 써두었다가 마지막 값을 기준으로 체크하는 방식입니다. 하지만 도입시에 신중하게 목적성에 대해 고민해보시고 도입하시기를 추천드립니다.

keoerd1 · Answer

JWT를 최대한 활용한 해결책은 토큰의 유효시간을 짧게 잡고 refresh 토큰 발급시 장독깨기님이 적으신 방법과 같이 db등을 통해 체크하는 방법이 있겠네요. 이 방법은 토큰 유효시간이 길면 그 시간에 비례해 중복된 로그인을 허용할수 있다는 단점이 있을수 있어요. 하지만 JWT를 장점을 버리고 매 요청마다 DB를 통해 중복로그인임을 체크한다면 그만큼의 오버헤드를 발생시킨다고 생각합니다. 저렇게 중복로그인을 막아야 하는거면 jwt가 아닌 session storage를 이용하는 방식이 더 적합하지 않았나 생각합니다. https://kkokkoma-dev.tistory.com/233 정리를 하자면 JWT를 사용하면서 중복로그인을 막을수 있는 방법은. 완벽한 제한수단은 아니지만 access token의 유효시간을 짧게 잡고, refresh 토큰을 통한 access token 갱신 때 중복로그인을 체크하는 방법이 있습니다. 하지만 깔끔하게 막는 방법은 아님을 다시 한번 말씀드리고요. JWT 방식에는 비효율적일지 몰라도 무조건 막아야 한다면 장독깨기님 말씀대로 매 요청시마다 DB에서 체크하여 막는 방법이 있겠네요.

JWT 중복 로그인 방지 가능한가요?

17개의 답변

Q&A 목록