[Spring Security] JWT(Json Web Token)란?

웹서비스에서는 토큰을 사용하여 사용자들의 인증 작업을 처리하는 것이 가장 좋은 방법입니다.

이번 포스팅에서는 토큰 기반의 인증 시스템에서 주로 사용하는 JWT(Json Web Token)에 대해 알아보도록 하겠습니다.

 

 

---

 

JWT(JSON Web Token)란?

JWT란 JSON 포맷을 이용해 사용자에 대한 속성을 저장하는 Claim 기반의 웹 토큰입니다.

토큰 자체를 정보로 사용하는 Self-Contained 방식으로 정보를 안전하게 전달합니다.

 

애플리케이션이 실행될 때, JWT를 static 변수와 로컬 스토리지에 저장하게 됩니다.

static 변수에 저장되는 이유는 HTTP 통신을 할 때마다 JWT를 HTTP 헤더에 담아서 보내야 하는데, 이를 로컬 스토리지에서 계속 불러오면 오버헤드가 발생하기 때문입니다. 클라이언트에서 JWT를 포함해 요청을 보내면 서버는 허가된 JWT인지를 검사하고 로그아웃을 할 경우 로컬 스토리지에 저장된 JWT 데이터를 제거합니다.

 

 

JWT의 구조

 

JWT는 헤더, 내용, 서명 순서대로 세 파트로 구성되어있고  . 구분자를 사용합니다.

Json 형태인 각 부분은 Base64Url로 인코딩 되어 표현됩니다. (같은 문자열에 대해 항상 같은 인코딩 문자열을 반환)

 

 

1. 헤더(Header)

{
  "alg": "HS256",
  "typ": "JWT"
}

• 헤더는 토큰의 타입, 해싱 알고리즘으로 구성된다.
  • typ : 토큰의 타입을 지정  ex) JWT
  • alg : Signature를 해싱하기 위한 알고리즘을 지정 ex) HMAC SHA256 혹은 RSA 
    

 

2. 내용(Payload)

{
  "sub": "1234567890",
  "name": "Lea",
  "iat": 1516239022
}

• 토큰에 사용자가 담고자 하는 정보를 담는 곳
• 토큰에서 사용할 정보의 조각들인 클레임(Claim)이 담긴다.
• 토큰에는 여러 개의 Claim이 담길 수 있다.
  
  

💡  Claim이란? 💡
Payload에 담기는 정보의 한 조각을 Claim이라고 합니다.
JSON 형태의 Key, Value 형태로 한 쌍으로 이루어져 있습니다.

 

Claim의 종류

1. 등록된 클레임(Registered Claim)
   • 토큰 정보를 표현하기 위해 이름이 이미 정해진 종류의 데이터
   • 등록된 클레임의 사용은 모두 선택적이지만 사용하는 것이 권장됨
     • iss: 토큰 발급자 (issuer)
     • sub: 토큰 제목 (subject), 주로 유니크한 사용자 이메일
     • aud: 토큰 대상자 (audience)
     • exp: 토큰의 만료시간 (expiraton), NumericDate 형식이고 언제나 현재 시간보다 이후로 설정되어있어야 한다.
     • nbf: Not Before를 의미하며, 토큰의 활성 날짜와 비슷한 개념, NumericDate 형식이고, 이 날짜가 지나기 전까지는 토큰이 처리되지 않는다.
     • iat: 토큰이 발급된 시간 (issued at), 토큰의 age 가 얼마나 되었는지 판단할 수 있다.
     • jti: JWT의 고유 식별자로서, 주로 중복적인 처리를 방지하기 위하여 사용된다. 일회용 토큰에 사용하면 유용
2. 공개 클레임(Public Claim)
   • 사용자 정의 클레임으로, 공개용 정보를 위해 사용한다.
   • 충돌이 방지된 이름을 갖고 있어야 한다.
   • 충돌 방지를 위해 클레임 이름을 URI 형식으로 짓는다.
3. 비공개 클레임(Private Claim)
   • 사용자 정의 클레임으로, 클라이언트와 서버가 협의하에 임의로 지정한 정보를 저장해서 사용
   • 공개 클레임과는 달리 이름이 중복되어 충돌이 될 수 있으니 사용할 때 유의해야 한다.

 

3. 서명(Signature)

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  your-256-bit-secret
)

• 서명은 토큰을 인코딩하거나 유효성 검증을 할 때 사용하는 고유한 암호화 코드이다.
• 헤더(Header)와 내용(Payload)의 값을 각각 BASE64로 인코딩하고, 인코딩한 값을 비밀키를 이용해 헤더에서 정의한 알고리즘으로 해싱을 하고, 이 값을 다시 BASE64로 인코딩하여 생성한다.

 

장단점

[ 장점 ]

• 사용자 인증에 필요한 모든 정보는 토큰 자체에 포함하기 때문에 별도의 인증 저장소가 필요 없다.
• Secret key만 공유된다면 각 서버에서 토큰 유효성 검증이 가능하다.
• 쿠키를 전달하지 않아도 되므로 쿠키를 사용함으로써 발생하는 취약점이 사라진다.
• URL 파라미터와 헤더로 사용
• 수평 스케일이 용이함
• 트래픽 대한 부담이 낮음
• REST 서비스로 제공 가능
• 내장된 만료
• 독립적인 JWT
  
  

[ 단점 ]

• Self-contained: 토큰 자체에 정보를 담고 있으므로 양날의 검이 될 수 있다.
• 토큰 길이: 토큰의 페이로드(Payload)에 3종류의 클레임을 저장하기 때문에, 정보가 많아질수록 토큰의 길이가 늘어나 네트워크에 부하를 줄 수 있다.
• Payload 인코딩: 페이로드(Payload) 자체는 암호화된 것이 아니라, BASE64로 인코딩 된 것이다. 중간에 Payload를 탈취하여 디코딩하면 데이터를 볼 수 있으므로, JWE로 암호화하거나 Payload에 중요 데이터를 넣지 않아야 한다.
• Stateless: JWT는 상태를 저장하지 않기 때문에 한번 만들어지면 제어가 불가능하다. 즉, 토큰을 임의로 삭제하는 것이 불가능하므로 토큰 만료 시간을 꼭 넣어주어야 한다.
• Tore Token: 토큰은 클라이언트 측에서 관리해야 하기 때문에, 토큰을 저장해야 한다.
  
  
  
  
  

---

 

 

 

참고

- 스터디원 제리👏 감사합니다^^

- https://mangkyu.tistory.com/56