[security] 서버 기반 인증(쿠키, 세션)과 토큰 기반 인증(JWT, oauth2)

서버 기반 인증(쿠키, 세션)과 토큰 기반 인증(JWT, oauth2)

---

로그인을 구현 하면서 정리한 내용 입니다 !

오류가 있다면 댓글로 남겨주세요 :)

 

1. 서버 기반 인증, 토큰 기반 인증

2. 쿠키

3. 세션

4. JWT

5. oauth2

---

1. 서버 기반 인증, 토큰 기반 인증

사용자가 서버에 접근할 때, 사용자 인증 확인 방법에는 서버 기반 인증과 토큰 기반 인증이 있다.

서버 기반 인증에는 쿠키와 세션이 있고, 토큰 기반 인증에는 JWT와 oauth2가 있다.

 

- 토큰 기반 인증 동작 과정

토큰은 서버에서 클라이언트를 구분하기 위한 유일한 값이다.

토큰 기반 인증은 무상태성, 확장성, 무결성의 3가지 특징이 있다.

 

1. 클라이언트가 서버에 로그인을 요청한다.

2. 서버는 토큰 생성 후 응답한다.

3. 클라이언트에 토큰을 저장한다.

4. 이후 토큰 정보와 함께 작업을 요청한다.

5. 서버는 토큰이 유효한지 검증한다.

6. 토큰이 유효하면 클라이언트가 요청한 내용을 처리한다.

 

2. 쿠키

사용자가 어떤 사이트에 접속했을 때, 해당 사이트의 서버에서 사용자의 로컬 환경에 저장하는 작은 데이터이다.

키-값 쌍으로 이루어져있고, 클라이언트에 값을 저장할 수 있다.

만료 날짜/시간을 지정하여 일시적일 수도 있고, 영구적일 수도 있다.

 

3. 세션

서버에 저장되는 데이터이고, 일반적으로 사용자가 로그아웃하거나 브라우저를 종료할 때까지 유지된다.

일반적으로 세션은 일시적이며, 사용자의 활동이 없는 경우 서버에서 삭제된다.

 

4. JWT

JWT는 토큰 기반 인증에서 사용하는 토큰이다.

헤더.내용.서명의 구조로 존재한다.

 

헤더에는 토큰의 타입과 해싱 알고리즘을 지정하는 정보를 담는다.

내용에는 토큰과 관련된 정보를 담는다.

서명은 해당 토큰이 조작, 변경되지 않았음을 확인하는 용도로 사용된다.

 

5. oauth2

사용자의 비밀번호를 제공하지 않고 다른 웹 사이트에 저장된 자신의 정보에 대해 접근 권한을 부여하는 방식이다.

권한 부여 코드 승인 타입, 암시적 승인 타입, 리소스 소유자 암호 자격증명 승인 타입, 클라이언트 자격증명 승인 타입 등 리소스 오너의 정보를 취득하는 방법은 4가지가 있다.

oauth2는 권한 부여 코드 승인 타입을 주로 사용하기 때문에 여기서는 권한 부여 코드 승인 동작 과정을 살펴보겠다.

 

- 리소스 오너

자신의 정보를 사용하도록 인증 서버에 허가하는 주체이고, 서비스를 이용하는 사용자이다.

 

- 리소스 서버

리소스 오너의 정보를 가진 페이스북이나 구글 서버이다.

 

- 인증 서버

토큰을 발급하는 역할을 하는 애플리케이션이다.

 

- 클라이언트 애플리케이션

리소스 오너의 리소스를 사용하는 주체이다.

- 권한 부여 코드 승인 타입 동작 과정

 

1. 리소스 오너가 애플리케이션에 로그인 요청을 한다.
2. 애플리케이션은 인증 서버에 접속해서 인증을 요청한다.
3. 인증 서버는 리소스 오너가 애플리케이션에게 권한 부여를 허용한 후, 권한 부여 코드를 발급한다.
4. 코드를 발급해서 URL에 포함하여 redirect하여 애플리케이션에 전달된다.
5. 애플리케이션은 이 코드를 사용하여 액세스 토큰을 요청한다.
6. 인증 서버는 애플리케이션에게 요청된 액세스 토큰을 발급한다.

 

1. 만약 리소스 오너가 애플리케이션에 어떠한 요청하면
2. 애플리케이션은 액세스 토큰을 가지고 리소스 서버에 요청을 보낸다.
3. 리소스 서버는 이 액세스 토큰을 검증하고, 유효한 경우 해당 리소스에 대한 권한을 확인 후 요청을 처리한다.

4. 애플리케이션은 리소스 오너에게 응답한다.

---

다음 포스팅에서 만나요 !