refresh 토큰이 탈취되면

Question

refresh token 도 access 토큰처럼 탈취될 수 있는거 아닌가요? https 써도. 인터넷 글 보니깐 탈취되면 db 값 지워서 강제 로그아웃 시킬 수 있어서 쓰는 거라고 하던데 서버측에서 어떻게 탈취당했는지 아나요? 어짜피 탈취된 토큰은 만료된게 아닌이상 db에 저장된 값과 동일할텐데

kenu,전독시 · Answer

https://www.google.com/search?q&#61;refresh&#43;token&#43;security

초무쿤 · Answer

두 토큰다 만료기간이 있짆아요. 탈취되도 유효기간만 유효하니...(refresh 토큰을 불씨처럼 안꺼지게 계속 연장한다면 모를까요.)

champaign · Answer

access 토큰은 만료기간이 짧아서 괜찮다고는 하지만 refresh 토큰이 탈취되면 만료기간이 몇주정도 되니깐 위험한거 아닌가요?……

324ewqeas3221 · Answer

저의 짧은 지식으로 답변드리자면refresh token을 어디에서 관리하고 있느냐에 따른 문제일 수 있습니다.client에 access만 발급하고 refresh를 server에서 관리한다면 탈취당할 경로가 많이 없죠.client는 access 만료 시에만 특정 진입점을 통해 access token 재발급을 받으면 되니까요. 이것이 아닌 refresh도 client에서 관리한다면 작성자분께서 질문하신 대로 의미가 있겠냐 싶지만통신이나 브라우저 보안기술이 발달하여 있어 웬만해서는 막을 수 있다고 생각하고 있습니다.

refresh 토큰이 탈취되면

4개의 답변

#refresh_token 목록