Chpater11. API 접근 보안

[LOG-INFO]

느낀점

• 인증코드, 접근 토큰, 재발급 토큰.... 그냥 영어로 해줬으면...........
• OAuth 2.0의 흐름을 대충 알고 있긴 했는데, 다시 정리하는 기회가 되었다
• OAuth 2.0 Grant flow가 4가지 인 것은 처음 알았다
  • Authorization Code Grant Flow
  • 웹브라우저 기반
  • Client에서 웹 브라우저를 통해 사용자를 권한 부여서버로 보내 인증하고 동의 요청
  • Grant Code와 함께 클라이언트로 Redirect
  • Implicit Grant Flow
  • 웹브라우저 기반
  • Authorization Server에서 Grant Code 대신 Access Token 바로 전송
  • Refresh Token 요청 불가
  • Client Secret을 안전하게 보호할 수 없는(?) Client
  • Resource Owner Password Credentials Grant Flow
  • 사용자는 자신의 Credential을 Client와 공유해야 함
  • Client가 Credential을 가지고 직접 Access Token 취득
  • 웹 브라우저와 상호 작용할 수 없는 Client
  • Client Credentials Grant Flow
  • Client ID와 Client Secret을 사용해 Access Token 취득
  • 사용자별 구분이 필요하지 않은 API 사용 시

[minkukjo]

느낀점

• OAuth2 도메인이 전문분야이다보니... 적당히 읽으면서 넘어갔던 것 같다.
• 최근에 OAuth2 표준 문서를 보면 Authroization Code Grant가 OAuth2 인증 방식의 Defacto가 된 것을 확인할 수 있다. 나머지 두 방식은 legacy라는 prefix가 붙어있음
• client-credentials 역시 직접적으로 유저 id,pw와 토큰을 요청하는 형식이라 보안상 좋아보이지 않음. (물론 시크릿은 전달이 되지만)

질문

• 자체 서명인증서를 사용하는 것의 장/단점
  • 장점 : 개발 환경에서 셀프로 만들어서 HTTPS를 적용해볼 수 있다.
  • 단점 : 운영 환경에선 못쓴다. Why? 브라우저가 해당 인증서가 공인된 CA로부터 발급된 인증서인지를 모르기 때문에 브라우저단에서 막힐 수 있음
• OAuth 2.0 인증코드의 사용 목적
  • Authorization Code를 가지고 토큰을 요청하는 단계가 추가되어서 보안에 강함
• OAuth 2.0 스코프의 사용 목적
  • 해당 토큰으로 접근할 수 있는 자원의 범위를 명시하기 위함. ( e.q. 카카오 계정의 이메일, 프로필 사진 등 어느정도의 정보까지 접근하게 해줄 것인지에 대한 명세 )
• JWT 토큰이란?
  • Json Web Token의 약자로 기존의 Opaque Token과는 다르게 토큰 Claim에 Payload를 저장할 수 있는 토큰
• JWT 토큰에 저장된 정보를 신뢰할 수 있는 이유?
  • 내부적으로 Payload는 암호화 알고리즘과 시크릿 키를 사용하여 암호화 됨. 이 둘을 모르면 복호화를 할 수 없기 때문.
• 네이티브 모바일 앱에서 사용하기 적합한 OAuth 2.0 권한 승인 흐름은 무엇인가?
  • Authorizaiton Code Grant Type + PKCE
  • 참고로 PKCE는 OAuth 2.1에서 필수가 될 예정
• OIDC는 OAuth 2.0에 어떤 기능을 추가하는가?
  • 해당 유저의 신원까지 확인하기 위해 id_token이라는 JWT 토큰을 별도로 발급해줌. 이걸 가지고 해당 유저가 누구인지 식별할 수 있는 기능까지 제공해줌. (개꿀~)

[MinJunKweon]

느낀점

• OAuth 2.0 플로우 종류가 4종류인 것은 처음 알았음. 책설명으로는 부족한 것 같아서 따로 찾아보게됨. 근데도 Authorization Code Grant Flow 외에는 아직 와닿지가 않아서 구분은 잘 못하겠음.. @_@ 게다가 용어가 한글로 번역되어서 더 헷갈리는듯
• 스프링 시큐리티 OAuth Authorization 서버는 왜 Deprecated 되었는지 배경이 궁금했는데, 찾아봐도 잘 안나온다.. 대신 Spring Authorization Server라는 프로젝트가 대체하는듯 (현재 버전 0.2.3이라 현재는 불안정함)
• 자체 서명 인증서를 생성해본건 처음인듯. 예전에 했던 사이드 프로젝트에서는 let's encrypt로 하던가 AWS Route53 인증서를 쓴다던가 했었는데 p12 인증서를 직접 생성하고 사용해본건 처음이었다.
• OIDC도 OAuth 2.0을 쓸 때 필수 아닐까 싶음. 직접 Authorization server를 만들어서 OAuth를 운영하는 경우가 있는지..? 사실상 유-명한 서드파티들의 정보를 SSO로 사용하기 위한 스펙이라고 생각함 (이 부분은 다른분들은 어떻게 생각하시는지 궁금하네요)