IT LAB

RefreshToken는 AccessToken을 재발급 받기 위한 토큰입니다.노출되면 여러 문제가 발생하므로 보안에 각별히 주의해서 관리해야 하는데요.구현하면서 어느 지점에서 어떻게 쓰이고 관리하는지 포스팅하겠습니다. 1. 최초 생성보안을 강화하고 발급한 AccessToken을 효과적이고 중앙 집중적으로 관리하기 위해 RefreshToken을 저장합니다.로그인 완료 후 Redis에 저장됩니다.Redis는 다른 클라우드 인스턴스에 위치하여 클러스터로 구성합니다.Hash 자료구조에 {email : RefreshToken} 형식으로 저장합니다.RefreshToken 유효기간을 TTL로 설정합니다. 2. AccessToken 만료사용중인 AccessToken이 만료된다면, RefreshToken을 사용하여 A..

* 이전 포스팅에서 다루었던 JWT 토큰 기반 인증의 구현에 대한 포스팅입니다 0. Dispatch Type서블릿 기반의 웹 애플리케이션에서 사용되는 개념서블릿이나 필터가 어떤상황에서 요청을 처리하는 지 나타냄Type설명주요 사용 상황관련 메서드/상황REQUEST클라이언트로부터 직접 들어온 요청브라우저에서 URL 입력 또는 링크 클릭일반적인 요청 처리FORWARD서버 내부에서 다른 리소스로 요청 전달다른 서블릿이나 JSP로 제어를 넘길 때RequestDispatcher.forward()INCLUDE다른 리소스의 내용을 현재 응답에 포함공통 헤더, 푸터, 메뉴 포함 등RequestDispatcher.include()ASYNC비동기적으로 처리되는 요청서블릿 3.0 이상에서 비동기 처리startAsync() ..

* 이전 포스팅에서 다루었던 JWT 토큰 설명을 참고해주세요 인증 시스템을 개발하면서 사용해야 할 기술을 정하는 중에 세션과 토큰 두개의 선택지가 있었습니다. 장점단점세션- 서버에서 사용자 세션을 제어할 수 있음- 서버에서 사용자 세션 관리를 위한 자원소모가 크다.- 세션 유지로 인해 서버의 확장성에 제약이 생길 수 있다.토큰- 서버의 확장성에 제약이 없다.- 플랫폼간의 인증방식을 일관되게 처리할 수 있다.- 여러 서비스간의 통합 인증이 용이하다.- 사용자 세션을 제어할 수 없다- 토큰이 탈취되면 클라이언트의 연결을 제어할 수 없다. 저희는 '토큰' 기반으로 인증을 구현하기로 결정하였습니다.'토큰' 기반의 장점과 단점을 고려하여 시스템 구현 방향을 설정하였습니다.KoLiving은 모바일에서도 제공하는 서..

1. AccessToken인증된 사용자가 자원 서버에 보안 리소스를 요청할 떄 인증을 대신하는 권한 토큰항목설명클레임 (Claims)- 인증 외의 부가 정보 저장- 사용자 정의 클레임 추가 가능 (예: IP, 기기 정보 등)유효기간 (Expiration)- 보안을 위해 짧게 설정 (예: 1시간)- 노출 시에도 장시간 사용 방지 목적- 만료 시 토큰은 무효 처리되고, 재요청 필요 2. RefreshTokenAccessToken 갱신용 토큰AccessToken이 만료될 때, 새로운 AccessToken을 요청하기 위한 토큰항목설명사용자 경험 향상- Access Token 만료 시 재로그인 없이 자동 재발급 가능- 사용자 인증 요청을 줄여 UX 개선유효기간- Access Token보다 긴 유효시간을 가짐 (보..

1. JWTJSON 형식의 표준 토큰 (RFC 7519)URL의 일부 혹은 HTTP 헤더에 포함시켜 토큰을 전달합니다. 특징항목설명경량성- 구조가 간결하고 크기가 작음→ 제약된 환경에서 효율적으로 사용 가능 (모바일, IoT 등)보안성- 데이터 무결성: 서명 포함 → 위조 여부 검증 가능 (알고리즘: HMAC, RSA)- 암호화: 민감한 데이터 보호자급자족(Self-contained)- 필요한 정보를 토큰 내에 포함 가능- 서버가 별도의 세션/DB 상태를 유지할 필요 없음 2. 구성구성 요소설명구성상세 정보Header토큰의 메타데이터alg: 서명에 사용된 알고리즘typ: 토큰 타입 (보통 "JWT")- HS256(HMAC + SHA-256): 하나의 비밀키로 서명+검증 수행- RS256(RSA + SHA..

1. 로그아웃 아키텍쳐Spring Security는 기본적으로 로그아웃 기능을 지원함소제목설명GET /logout- 로그아웃 확인 페이지 제공- CSRF 토큰 포함 가능※ CSRF 비활성화 시 확인 페이지 없이 바로 로그아웃POST /logout- 로그아웃 처리 동작 수행① SecurityContextLogoutHandler: 세션 무효화② SecurityContextLogoutHandler: SecurityContext 제거③ TokenRememberService: RememberMe 제거④ CsrfLogoutHandler: CSRF 토큰 제거⑤ LogoutSuccessEventPublishingLogoutHandler: LogoutSuccessEvent 발행→ /login?logout 으로 리디렉션됨..

1. PasswordEncoder비밀번호 암호화를 담당하는 객체 one-way hashing한 번 해싱하면 원래 입력값으로 되돌릴 수 없음 (복호화 불가)항목설명목적비밀번호를 안전하게 저장하기 위함인증 방식입력된 비밀번호를 해싱하여, DB에 저장된 해시값과 비교장점원문 비밀번호를 저장하지 않으므로 데이터 유출 시 위험 최소화 2. Password Storage History구분설명문제점 / 대응초기 보안 처리비밀번호를 평문으로 저장DB 접근 제어 기능에 의존계정 정보 탈취 위험- SQL Injection: 입력값 공격단방향 해싱 도입단방향 해시 함수 사용 (해시값은 복호화 불가능)→ 입력 비밀번호를 해시하여 저장된 값과 비교사전 공격 가능성 존재- 레인보우 테이블: 다양한 해시값을 미리 계산해둔 테이블S..

1. 인증 정보 습득방식Spring Security는 기본적으로 클라이언트로부터 인증 정보를 얻기 위한 세가지 방법을 지원합니다. 기본적으로 HttpServletRequest 객체로부터 아이디/패스워드 정보를 얻습니다. 종류구분FormBasicDigest설명HTML 폼을 통해 아이디/비밀번호를 입력받아 인증HTTP 요청 헤더에 Base64로 인코딩된 아이디/비밀번호를 포함nonce 기반 해시값으로 인증 (비밀번호는 평문 전송 안 함)요청 방식POST /login (form-data)Authorization: Basic base64(username:password)Authorization: Digest ...초기 트리거인증 없이 보호된 리소스 접근→ /login 리다이렉트인증 없이 접근 시 → WWW-Au..

1. ExceptionTranslationFilter 요청에 대해 SecurityFilterChain의 필터들이 보안 처리 중 발생하는 인증 혹은 인가 예외에 대한 처리를 맡습니다. 인증 예외는 AccessDeniedException, 인가 예외는 AuthenticationException 입니다. 자바 예외와 HTTP Response 의 브릿지 역할을 합니다. AuthenticationException 이 발생할 경우 AuthenticationEntryPoint을 동작시킵니다. 인증 예외에 대해 원하는 동작을 커스터마이징 할 수 있습니다. 사용자를 로그인 페이지로 리다이렉트하거나 적절한 응답코드를 반환하는 등의 작업이 가능합니다. AccessDeniedException 이 발생할 경우 anonymous..

1. SecurityContextHolderSpring Security의 인증 모델의 핵심 SecurityContext가 들어있음 (현재 인증된 사용자 정보)인증이 필요할 떄 꺼내서 사용 권한을 검사하거나 인증 여부를 확인함SecurityContextHolder에 인증 정보가 존재하면, 그 사용자는 인증된 사용자로 간주됨 저장 방식ThreadLocalThreadLocal을 이용해서 현재 인증 정보인 SecurityContext를 저장함같은 스레드 내의 메서드들은 SecurityContext를 전달하지 않고도 사용할 수 있음요청 처리가 끝나면 FilterChainProxy가 SecurityContext를 지워줌 저장 전략전략설명 MODE_THREADLOCAL (기본값)현재 스레드에만 인증 정보 저장 MOD..