스프링부트 1.5.10에서 OIDC 인증 서버 구현해도 될까요?

Question

안녕하세요.SSO 서비스 서버에 OIDC 프로토콜을 추가해야 합니다.기존 코드는 spring boot 1.5.10으로 작성되어 있습니다.OIDC든 OAuth든 프로토콜이니 스펙을 정확히 알고 하나씩 구현하면 할 수 있겠지만 문제는 시간과 안정성입니다.OIDC 구현 예제들을 보니 spring boot 2 이상과 그에 맞는 spring security를 사용하고1.5대에서는 프레임워크에서 편리하게 구축하기는 어려운 것 같습니다.(추측입니다.)해서 chat gpt한테 물어보니 아래와 같은 답변을 얻었습니다.여러 의견을 듣고 싶은데 자유롭게 생각 말씀해주시면 감사하겠습니다.친구야 spring boot 1.5.10 에서 oauth2는 지원하는구나Spring Boot 1.5.10은 Spring Security OAuth2를 지원합니다. Spring Security OAuth2는 Spring Security의 확장으로 OAuth2 프로토콜을 지원하도록 설계된 라이브러리입니다. Spring Boot 1.5.10은 Spring Security OAuth2를 자동 구성할 수 있도록 Spring Security OAuth2 Autoconfigure 모듈을 제공합니다.하지만 Spring Security OAuth2는 현재 더 이상 활발하게 유지보수되지 않으며, 대신 Spring Security 5.x 버전 이상에서는 Spring Security OAuth2 대신 OAuth 2.0 인증 및 인가를 위한 새로운 모듈인 Spring Security OAuth2 Client 및 Spring Security OAuth2 Resource Server가 사용됩니다. 따라서 새로운 애플리케이션을 개발하는 경우 Spring Boot 2.x 버전 이상을 사용하고, Spring Security 5.x 버전 이상에서 OAuth 2.0 인증 및 인가를 구현하는 것이 좋습니다.OAuth2 대신 OAuth 2.0 라니 그게 무슨 말이야? 두 개가 다른 프로토콜이야? 아니면 새로운 모듈 프로젝트라는건가?OAuth2와 OAuth 2.0은 사실상 같은 프로토콜을 의미합니다. OAuth2는 이전 버전의 OAuth 1.0a에서 진화한 것으로, OAuth 1.0a에서 발생한 일부 보안 문제와 기술적인 제한 사항을 해결하기 위해 개발되었습니다. 따라서 OAuth2는 OAuth 2.0 스펙의 구현 중 하나입니다.하지만 최근 OAuth2 자체에 대한 일부 보안 취약점이 발견되었으며, 이에 대한 보완 조치를 위해 OAuth 2.0 인증 및 인가 프로토콜의 새로운 버전이 발표되었습니다. 이러한 이유로 Spring Security 5.x 버전 이상에서는 OAuth 2.0 인증 및 인가를 위한 새로운 모듈인 Spring Security OAuth2 Client 및 Spring Security OAuth2 Resource Server를 사용하는 것이 권장됩니다.따라서 Spring Boot 2.x 버전 이상에서는 Spring Security OAuth2 대신 Spring Security OAuth2 Client와 Spring Security OAuth2 Resource Server를 사용하여 OAuth 2.0 인증 및 인가를 구현할 수 있습니다. 이 모듈들은 Spring Security 프로젝트의 일부로 개발되었으며, OAuth2와 OAuth 2.0 스펙을 준수합니다.boot 1.5.10을 꼭 써야 하는 상황이야. 레거시 시스템이 그 버전인데 기존 작성된 코드가 많고 내가 수정할 수 없어. 이 상태에서 oidc provider를 구현해야 하는데 제공되는 oauth2 설정을 수정하여 oidc 스펙으로 만들 수 있을까?Spring Boot 1.5.10은 Spring Security OAuth2를 지원하므로, 이를 기반으로 OpenID Connect(OIDC) Provider를 구현하는 것은 가능합니다. 하지만, Spring Security OAuth2는 OIDC를 지원하지 않기 때문에, 일부 작업이 필요합니다.기본적으로 OIDC는 OAuth2.0 위에 구축된 인증 및 권한 부여 프로토콜입니다. 따라서, Spring Security OAuth2를 기반으로 OIDC Provider를 구현하려면, 기존 OAuth2 클라이언트와 서버를 수정하거나 Spring Security OAuth2의 기능을 확장하여 OIDC 스펙을 준수하도록 만들어야 합니다.이를 위해서는 OIDC의 스펙과 Spring Security OAuth2의 기능에 대한 이해가 필요합니다. Spring Security OAuth2에서는 OAuth2 클라이언트 및 서버를 구성하기 위한 다양한 기능을 제공하며, 이를 기반으로 OIDC 스펙을 준수하는 OIDC Provider를 만들 수 있습니다.그러나, 이러한 작업은 상당히 복잡하며, 실수할 경우 보안 취약점이 발생할 수 있습니다. 따라서, 가능하다면 Spring Boot 2.x 버전 이상으로 업그레이드하여 Spring Security OAuth2 Client와 Spring Security OAuth2 Resource Server를 사용하여 OIDC Provider를 구현하는 것이 좋습니다. 이를 통해 OIDC 스펙을 준수하는 안전하고 신뢰성 높은 인증 및 권한 부여 시스템을 만들 수 있습니다.

sdfdsafadsfa · Answer

Ory hydra라고 오픈소스 oidc 구현체 있는데 이거 쓰세요. 근데 자동생성된 자바 sdk에 오류있어서 직접 수정해야하는 부분이 있긴 합니다

스프링부트 1.5.10에서 OIDC 인증 서버 구현해도 될까요?

1개의 답변

Q&A 목록