JWT refreshtoken을 클라이언트에서 가지고 있다면 access token과 refresh token을 분리해서 사용할 이유가있을까요?

Question

우선 기술적인 이해도가 낮은 주니어임을 밝히고 양해를 구합니다.지금 개발중인 프로젝트가 vue &#43; spring rest API 서버로 개발되었고 인증 프로세스 구현을 위해 JWT를 도입하였습니다.레퍼런스들을 따라하며 현재까지 구현된 로직은 이렇습니다.클라 > 사용자의 로그인서버 > 서버에서 ATK, RTK 발행 후 쿠키에 저장 (httponly)*토큰 발행시 uuid 생성 후 ATK payload에 저장, 해당 uuid를 키값으로 redis에 RTK 저장.클라 > http request시 header에 ATK, RTK를 담아 보내고서버 > 필터에서 ATK 검사 - 만료 전이라면 패스, 만료되었다면 ATK payload에 담긴 uuid값으로 redis에서 RKT 조회 후 header에 담긴 RTK값과 대조하여 같은 값이고 만료전이라면 ATK 재발행토큰기반 인증로직에서 토큰이 탈취 당했을때 해당 토큰의 유효기간동안 계정의 제어권이 넘어가니 ATK과 RTK으로 나누어 서비스 사용을 위한 인증은 ATK만을 바라보게하고 RTK은 재발행만을 위한 토큰으로 사용하여 각각 유효기간을 다르게 설정하기 위함이라고 이해했습니다.여기서 생긴 궁금증이 몇 가지 있습니다.토큰탈취 방어: 토큰을 탈취되면 위험하다.. 라고 막연하게만 알고있지 막상 어떤 방식으로 토큰이 탈취 당할 수 있는지 모르는 상태에서는 대안을 강구하기 어려운 것 같습니다. vue 자체적으로 스크립트 삽입에 대한 방어가 어느정도 되고 httpOnly 옵션의 쿠키를 사용함으로서 브라우저에서 쿠키에 접근하는 걸 막는 것 정도 (&#43; https)가 현재 대비책입니다. 이 외에 어떤 추가적이 조치가 필요할까요?제목의 질문입니다.: 1번과 연결되면서 이 질문글을 작성하게 된 이유입니다. 클라이언트 단에 RTK이 저장된다면 토큰 탈취에 대한 위험성에 똑같이 노출이 되는 것 아닌지, 클라이언트에 저장된 RTK이 탈취 당했을때 서버에서 유효기간만 체크하고 ATK이 재발급되는 로직이라면 굳이 ATK와 RTK을 구분해놓은 의미가 있는지 궁금합니다.추가적으로 제가 구현한 로직에서 수정해야 할 부분이 있다면 지적부탁드리겠습니다. 전체적으로 이해도가 낮아서 시니어분들이 보시기에 답답한 부분도 있겠지만 답변주시면 차근차근 이해해보겠습니다.긴 질문 읽어주셔서 감사합니다.

고랭지고구마 · Answer

모든 요청에 ATK, RTK를 헤더에 넣지 말고 토큰 재발급이 필요할 때만 RTK를 헤더에 넣어서 보내는게 보안상 좋습니다. 결국 헤더에 있는 토큰을 가로채는게 목적이라서 모든 요청에 RTK를 포함하게 되면 탈취 당할 가능성이 높아지고 ATK를 탈취 당했을 때 보다 더 큰 피해를 입을 수 있기 때문입니다.

wharup · Answer

브라우저는 보안이 취약하기 때문에 RTK는 SPA에 보내지 않는 게 좋습니다. 따라서 보안을 위해선 SPA는 ATK만 가지고 있고 RTK는 서버만 가지는 게 맞습니다. OAuth2에서 Implicit Grant 타입은 서버가 없는 SPA를 위해 만들어졌는데, 동일한 이유로 SPA에 RTK를 발급하지 않습니다.https://auth0.com/blog/refresh-tokens-what-are-they-and-when-to-use-them/https://stackoverflow.com/questions/34231717/why-in-implicit-grant-flow-the-auth-server-must-not-issue-a-refresh-token토큰을 쿠키에 넣어서 브라우저에서 차단할 수 있지만, 사용자가 조작된 브라우저를 사용할 수도 있고 중간에 Proxy 등으로 가로채는 것도 가능합니다. 그리고 REST API의 범용성을 살리려면 모바일이나 다른 클라이언트에서도 사용하기 좋도록 Header에 베어러 토큰으로 넣는게 바람직하기도 합니다.

hchbae1001 · Answer

RefreshTokenRotate 추천드립니다.1. ATK O , RTK O - Pass2.ATK O, RTK X - Pass3.ATK X, RTK O - ATK, RTK 재발급4.ATK X, RTK X - 재 로그인 요청이렇게 함으로써 이점은 사용자의 RTK가 탈취되어 ATK를 얻었다 -> 본래 사용자의 RTK가 맞지 않으므로재 로그인을 강제함으로써 공격자의 ATK가 만료되어 RTK를 재발급 하려 할때, DB에 저장된 RTK 가 맞지 않아서 재탈취를 하는 수 밖에 없다는 점으로 알고있어요

JWT refreshtoken을 클라이언트에서 가지고 있다면 access token과 refresh token을 분리해서 사용할 이유가있을까요?

3개의 답변

Q&A 목록