인증, 인가 방식의 종류 - 쿠키 , 세션 , JWT(Json Web Token)

1. 쿠키 인증 방식

쿠키란 서버가 클라이언트의 브라우저에 key value 형태로 저장해놓는 작은 기록파일이다.
쿠키를 이용하여서 간단한 로그인을 구현할 수 있다.
 

쿠키 로그인 인증 방식
 

이미지 출처 : https://brunch.co.kr/@jinyoungchoi95/1

 
클라이언트에서는 로그인이 필요한 요청을 할때마다 다음과 같이 쿠키에 id, pw 정보를 담아서 전송한다.
위와 같은 작업을 수행하기 위에서는 이미 브라우저에서 로그인이 진행된 후 유저 정보가 쿠키에 들어있어야한다.
 
하지만 쿠키 인증 방식은 여러 문제가 있다.
1. 쿠키값 유효성 검증이 힘들다. (조작 가능성이 있다.)
2. 중간에 탈취해서 id,pw 정보를 확인할 수 있다.
3. 서버에서 매번 인증을 수행해야한다.
4. 브라우저마다 쿠키 형식이 통일되어 있지 않아서 브라우저 간 공유가 어렵다.
 
따라서 쿠키만 이용한 인증 방식의 한계를 보완하기 위해 세션을 사용한 인증 방식이 나오게 되었다.
 

2. 세션 인증 방식

세션은 사용자의 연결을 하나의 상태(세션)으로 유지시키는 기술을 말한다.
 

세션 로그인 인증 방식

쿠키는 매번 id,pw 같은 민감 정보를 전송해야했다면, 세션은 서버의 세션 저장소에 세션 정보를 저장함으로써 보완을 강화했다.
클라이언트는 인증이 필요한 요청을 필요할 때 쿠키에 세션 인증 정보를 함께 보내고 서버는 이를 세션 저장소의 내용과 비교해서 인증 여부를 판단한다.
(마치 매표소에서 티켓의 절반을 떼서 손님이랑 나눠가지는 원리와 비슷하다.)
이렇게 함으로써 인증 요청 시에 민감 정보를 네트워크 상에 노출 시키는 것을 예방할 수 있다.
 
하지만 세션 방식도 여러가지 문제를 안고 있다.
1. 서버가 재부팅되면 세션 저장소가 초기화된다.
2. 스케일 아웃 방식의 확장이 어렵다. -> 모든 서버에 세션 정보를 동기화 시켜야한다.
3. 사용자의 수가 많아지면 관리해야하는 세션 정보가 많아져서 서버의 부담이 된다. -> 무상태(stateless) 위반
4. 세션 인증 정보 탈취의 위험이 있다.
 

3. JWT 인증 방식 

JWT(Json Web Token) 방식은 토큰 기반의 인증 방식이다. 이 방식을 통해 그 동안의 인증 방식에서 나왔던 문제들을 어느정도 개선할 수 있다.
 

JWT 로그인 인증 방식

JWT 토큰 구조는 크게 3가지로 구분된다.
 
header
키값, 토큰 유형, 암호화 알고리즘 같은 정보들을 담고 있다.
 
payload
클레임(claim)이라고 하는 유저의 토큰 인증 정보를 key/value 형태로 담고 있다.
JWT 스펙에서는 표준 claim 목록을 다음과 같이 정의하고 있다. (권장 사항일 뿐 꼭 지킬 필요는 없을 것 같다)
 
iss (Issuer, 토큰 발급자): . 누가 토큰을 발급(생성)했는지
sub (Subject, 토큰 주제): 주제에 대한 설명을 나타냅니다.
aud (Audience, 토큰 수신자): 누구에게 토큰이 전달되는 가
exp (Expiration, 만료 시간): 언제 토큰이 만료되는지
nbf (Not Before): 정의된 시간 이후에 토큰이 활성
iat (Issued At, 토큰 발급 시간): 언제 토큰이 발급되었는지
jti (JWT ID, 토큰 식별자): 토큰의 고유 식별자
 
signature
JWT에서 가장 민감한 부분이다. 해당 값으로 토큰의 유효성을 판별하며 이때 사용되는 시크릿 값을 유출시키지 않는 것이 매우 중요하다.
시크니처는 헤더+페이로드+시크릿 값을 암호화 알고리즘으로 암호화하여서 만들어진다.
따라서 시크릿 값이 조금이라도 다르다면 토큰 내용은 완전 변하게 되어서 인증이 불가능해진다.
 
여기서 주의할 점은 헤더와 페이로드는 암호화가 아닌 base64 방식으로 인코딩 되는 방식이기 때문에 제3자도 토큰만으로도 해당 값들을 열람할 수 있다. 따라서 식별자를 제외한 민감한 정보들을 최대한 넣지 말아야한다!
 
JWT는 클라이언트에게 토큰을 주는 방식이기 때문에 만약 토큰이 탈취 당한다면 서버에서 딱히 할 수 있는 것이 없다.
이 점을 보완하기 위해 리프레시 토큰을 이용해서 기존 토큰의 유효 시간을 짧게 가져가고 새로운 토큰을 지속해서 발급해주는 방식을 사용하기도 한다.

하지만 일정 시간 동안은 탈취된 토큰이 사용될 수 있는 것이기 때문에 근본적인 해결법은 아니다. 그래서 은행 같이 보안에 굉장히 민감한 곳에서는 여러 외부 프로그램을 사용해서 보안을 강화한다.