🚀

✅ JWT(Json Web Token)

JWT 특징과 주의 사항

특징

JWT(Json Web Token) 은 통신 정보를 JSON 형식을 사용하여 안전하게 전송하기 위해 사용됩니다. JWT는 토큰 자체에 정보가 포함되어 있는 클레임 기반 토큰입니다. 일반적인 애플리케이션에서 JWT는 주로 인증과 인가를 구현하기 위해 사용됩니다. JWT는 헤더, 페이로드, 시그니처로 구분됩니다. 헤더에는 토큰의 암호화 알고리즘이나 타입을 가지며, 페이로드에는 데이터(만료일, 사용자 정보 등)을 가집니다. 시그니처는 헤더와 페이로드가 변조되지 않았는지 판단하기 위해 사용되는데요. 헤더와 페이로드를 비밀 키를 사용하여 헤더에 명시된 암호화 알고리즘으로 암호화하여 시그니처가 만들어집니다.

JWT를 사용하여 인가를 구현하는 경우, 클레임 기반 토큰의 특성 덕분에 세션 기반 인증에 비해서 사용자 정보를 조회하기 위한 추가적인 작업이 필요하지 않습니다. 또한, 서버가 상태를 관리하지 않기 때문에 서버가 이중화된 환경에서도 사용자의 로그인 정보를 일관성 있게 관리할 수 있습니다. (세션 불일치 문제가 발생하지 않습니다.)

주의 사항

•

JWT는 디코딩이 쉽습니다. Base64로 디코딩하면 페이로드를 확인할 수 있습니다. 따라서, 민감한 정보를 담는 것에 유의해야 합니다.

•

시크릿 키의 복잡도가 낮은 경우, 무작위 대입 공격(Brute force Attack)에 노출될 수 있습니다. 따라서, 강력한 시크릿 키를 사용하는 것이 권장됩니다.

•

시크릿 키는 유출되면 안되기 때문에 안전한 공간에 관리해야합니다.

•

JWT 탈취에 유의해야 합니다. 이를 위해서 JWT 저장 공간, 리프레시 토큰 도입 여부, Refresh Token Rotation, 탈취 감지 및 대응에 대해서 고민이 필요합니다.

•

토큰의 잦은 갱신이 사용자 경험을 저해하는지 고려해야 합니다. 예를 들어, 사용자가 게시글을 3시간 동안 작성하고 제출했지만 JWT가 만료되어 사용자가 작성한 글은 사라질 수 있습니다. 이를 해결하기 위해서 슬라이딩 세션과 같은 전략을 고민해 볼 수 있습니다.

•

JWT none 알고리즘 공격을 유의해야 합니다. 공격자가 토큰의 헤더에 명시된 알고리즘을 none으로 변경하여, 페이로드가 변조되어도 시그니처 검증을 우회할 수 있습니다. 이를 해결하기 위해서 none 알고리즘 공격을 예방한 라이브러리를 사용하거나, none 알고리즘과 같이 약한 알고리즘에 대해서 필터링하는 등 주의가 필요합니다.

JWT(Json Web Token)의 장점 및 단점

장점

첫째

JWT는 Stateless 인증 방식을 제공합니다. 서버가 사용자의 인증 상태를 별도로 저장할 필요가 없어, 서버의 메모리나 데이터베이스 비용을 줄일 수 있습니다. 인증 상태 관리에 대한 부담이 없어지니 서버의 확장성 측면에서도 유리합니다.

둘째

JWT는 토큰에 자체적으로 필요한 정보를 포함할 수 있습니다. 사용자 ID, 권한 정보 등을 토큰 자체에 담을 수 있어, 추가적인 데이터베이스 조회 없이도 필요한 인증 관련 정보를 얻을 수 있습니다.

셋째

JWT는 서명(Signature)을 포함하고 있어 데이터의 무결성을 보장할 수 있습니다. 서버에서 발급한 JWT가 변경되었는지 검증할 수 있으므로, 클라이언트가 임의로 내용을 조작하는 것을 방지할 수 있습니다.

단점

먼저, 로그아웃을 강제할 수 없다는 문제가 있습니다. 액세스 토큰의 상태는 서버에서 별도로 관리하지 않기 때문에, 한 번 발급된 토큰은 만료될 때까지 유효합니다. 따라서 서버에서 임의로 토큰을 무효화할 수 없으며, 다중 로그인 제한과 같은 기능도 구현하기 어렵습니다.

또한, 페이로드 크기로 인한 네트워크 부하가 발생할 수 있습니다. JWT는 사용자 정보를 포함하므로 일반적인 세션 ID보다 용량이 크며, 이에 따라 네트워크 비용이 증가할 수 있습니다.