[정보] JWT 보안 고려 사항

개념설명

JWT는 RFC 7519를 따르는 인증 수단 중 하나이다.

 

JWT 토큰에는 2가지 종류가 있다.

 

Access Token 및 Refresh Token이다.

Access Token은 기본적으로 발행된 토큰으로 사용자의 신원을 확인하는데 있다.

Refresh Token은 Access Token의 유효성을 검증하는데 사용된다.

 

Access Token만으로 보안인증을 구현 시 별도의 Refresh Token이 없기에 정해진 일자에 만료되어 재 인증을 필요로 한다.

만약 1일 이상으로 Access Token의 만료일을 설정 시 해당 정보가 탈취되면 공격자는 해당 유효시간 동안 공격 가능한 요소를 얻게 된다.

권고되는 설정 방식은

Access Token 및 Refresh Token을 사용하고

Access Token은 15분

Refresh Token은 1시간으로 설정하여

 

세션타임아웃 방지하는 것과 유사한 개념으로 관리하는 것이 보안적 측면에서 공격의 기회를 낮출 수 있을 것이라 기대된다.

아울러 JWT의 Payload에는 민감정보를 포함하여 전송하지 않도록 설계가 필요하다. 보통 고유값을 인지하기위해서 넣는 것으로 개발이 필요할 시 해당 최초 접속지의 User-Agent 또는 IP 등을 서버 내부의 비지니스 로직에서 별도로 저장 후 요청에 대한 검증을 하는 것이 보안적으로 좋다.

 

공격포인트

서명 확인 누락
알고리즘 공격 없음
약한 비밀(JWT 토큰의 비밀 무차별 대입)
안전하지 않은 KID 파라미터 처리