JWT

JWT(Json Web Token)은 토큰 기반 인증 방식으로, 사용자의 세션 상태를 저장하는 게 아니라 필요한 정보를 토큰 body에 저장해 사용자가 가지고 있고 그것을 증명서처럼 사용합니다. 사용자는 Access Token(JWT Token)을 헤더에 실어 서버로 보내게 됩니다.

토큰을 만들기 위해서는 Header, Payload, Verify Signature가 필요합니다.

• Header: Header, Payload, Verify Signature 정보를 암호화할 방식(alg), 타입(type) 등이 들어감
  • JWT인 토큰의 유형이나 HMAC SHA256 또는 RSA와 같이 사용되는 해시 알고리즘이 무엇으로 사용했는지 등 정보가 담김
• Payload : 서버에서 보낼 데이터가 들어감. 일반적으로 사용자의 ID, 유효기간이 포함
  • 클라이언트에 대한 정보, META data같은 내용이 들어있고, Base64로 인코딩 되어있음
• Verify Signature : Base64 방식으로 인코딩한 Header, payload 그리고 SECRET KEY를 더한 후 서명됨

위 내용을 가진 최종적인 형태는 Encoded Header.Encoded Payload.Verify Signature (xxxx.yyyy.zzzz) 입니다.

header와 payload는 base64로 인코딩만 되므로 누구나 디코딩하여 확인할 수 있습니다. 따라서 payload에는 중요한 정보가 포함되면 안됩니다. 하지만 verify signature는 SECRET KEY를 알지 못하면 복호화할 수 없습니다. 

아래는 위 내용을 기반으로 인증하는 예시입니다.

사용자 A가 B의 데이터를 보고자 payload를 조작하려 합니다. payload에 있는 A의 ID를 B의 ID로 변경해 인코딩한 후, 서버에 해당 토큰을 전달합니다. 그러면 서버는 처음 암호화된 verify signature를 검사하게 됩니다. 여기서 payload는 B사용자의 정보가 들어있으나, verify signature는 A의 payload를 기반으로 암호화되어 있기 때문에 유효하지 않는 토큰으로 간주합니다. 따라서 A의 사용자는 SECRET KEY를 알지 못하는 이상 토큰을 조작할 수 없습니다.

JWT의 인증 방식은 아래의 단계와 같습니다.

1. 클라이언트가 로그인을 위해 해당 정보를 서버에 전달
2. 서버에서는 전달된 데이터로 사용자를 확인하고 사용자의 고유한 ID값을 부여한 후, 기타 필요한 정보와 함께 Payload에 추가
3. JWT 토큰의 유효기간을 설정
4. 암호화할 SECRET KEY를 이용해  Access Token을 발급

5. 사용자는 Access Token을 받아 저장한 후, 인증이 필요한 요청마다 토큰을 헤더에 추가하여 전달

6. 서버에서는 해당 토큰의 Verify Signature를 SECRET KEY로 복호화한 후, 조작 여부, 유효기간을 확인

7. 해당 토큰이 유효하면 Payload를 디코딩하여 사용자의 ID에 맞는 데이터를 호출

세션/쿠키 방식과 가장 큰 차이점은 세션/쿠키는 세션 저장소에 유저의 정보를 넣는 반면, JWT는 토큰 안에 유저의 정보를 넣는다는 점입니다. 사용자 입장에서는 헤더에 세션ID나 토큰을 실어서 보내준다는 점에서는 동일하나, 서버 측에서는 인증을 위해 암호화를 하냐, 별도의 저장소를 이용하냐는 차이가 발생합니다.

장점

1. JWT는 발급한 후 토큰 검증만 하면 되기 때문에 추가 저장소가 필요 없음

2. 서버를 확장하거나 유지,보수하는데 유리

3. 토큰 기반으로 하는 다른 인증 시스템에 접근이 가능

• 예를 들어 Facebook 로그인, Google 로그인 등은 모두 토큰을 기반으로 인증. 선택적으로 이름이나 이메일 등을 받을 수 있음

단점

1. 세션/쿠키의 경우 세션ID가 변질되었다고 판단되면 해당하는 세션을 지우면 되지만 JWT는 한 번 발급되면 유효기간이 완료될 때 까지는 계속 사용이 가능하므로 유효기간이 지나기 전까지  정보들을 탈취할 수 있음

• 기존의 Access Token의 유효기간을 짧게 하고 Refresh Token이라는 새로운 토큰을 발급하면 Access Token을 탈취당해도 상대적으로 피해를 줄일 수 있음

2. payload 정보가 제한적 Payload는 따로 암호화되지 않기 때문에 디코딩하면 누구나 정보를 확인할 수 있어서 담는 데이터가 제한적임 

3. 세션/쿠키 방식에 비해 JWT의 길이가 기므로 인증이 필요한 요청이 많아질수록 서버의 자원낭비가 발생

4. 단점 1번과 연관된 문제로 유효기간을 짧게 하면 재로그인 시도가 잦아지고 길면 해커에게 탈취될 가능성이 큼

Refresh Token

Access Token(JWT)를 통한 인증 방식의 문제로 탈취당할 경우 보안에 취약하다는 점입니다. 유효기간이 짧은 Token의 경우, 사용자는 새 Token을 발급받기 위해 로그인을 자주 시도해야 하고 유효기간을 늘리면, 탈취당했을 때 보안에 취약해지게 됩니다. '유효기간을 짧게 하면서 보안을 챙길 수 있는' 물음에 나온 방식이 Refresh Token입니다.

Refresh Token은 Access Token과 똑같은 형태의 JWT입니다. 로그인이 완료됐을 때, Access Token과 동시에 Refresh Token은 긴 유효기간을 갖고 발행되고 Access Token의 유효기간이 만료되었을 때 새로 Token을 발급해주는 열쇠가 됩니다. 

예를 들어, Refresh Token의 유효기간은 2주, Access Token의 유효기간은 1시간으로 설정하게 되면 사용자에게 발급된 Token이 1시간이 지나게 되면 Access Token은 만료되지만 Refresh Token의 유효기간은 아직 남아 있기 때문에 사용자의 재로그인 없이 Access Token을 새롭게 발급받을 수 있습니다. 

위의 예제와 같이 Refresh Token의 유효기간이 만료되면 사용자는 새로 로그인해야 하고 Access Token과 동일하게 Refresh Token도 탈취될 가능성이 있기 때문에 적절한 유효기간 설정이 필요합니다.

아래는 Refresh Token이 포함된 JWT 인증 방식입니다. (1~3번은 JWT와 동일)

1. 클라이언트가 로그인을 위해 해당 정보를 서버에 전달
2. 서버에서는 전달된 데이터로 사용자를 확인하고 사용자의 고유한 ID값을 부여한 후, 기타 필요한 정보와 함께 Payload에 추가
3. JWT 토큰의 유효기간을 설정
4. 암호화할 SECRET KEY를 이용해  Access Token, Refresh Token을 발급 (일반적으로 회원 DB에 Refresh Token을 저장)
5. 사용자는 Refresh Token을 안전한 저장소에 저장

6. 사용자는 Access Token을 받아 저장(쿠키)한 후, 인증이 필요한 요청마다 토큰을 헤더에 추가하여 전달

7. 시간이 지나 Access Token이 만료되었다고 가정

8. 사용자는 6번과 같은 방식으로 Access Token을 헤더에 담아 서버에 요청

9. 서버는 Access Token이 만료된 것을 확인하고 사용자에게 만료 메세지를 반환

   1. 사용자는 Access Token의 payload를 통해 유효기간을 알 수 있으므로 요청 이전에 바로 재발급 요청을 할 수 있음

10. 사용자는 Refresh Token과 Access Token을 헤더에 담아 서버에 요청

11. 서버는 요청받은 토큰의 Verify Signature를 SECRET KEY로 복호화한 후, 조작 여부, 유효기간을 확인하고 전달받은 Refresh Token과 저장해둔 Refresh Token을 비교. Token이 동일하고 유효기간이 지나지 않았다면 Access Token 발급

12. 사용자는 새로 발급받은 Access Token을 저장하여 인증이 필요한 요청마다 토큰을 헤더에 추가하여 전달

장점

1. Access Token이 있을 때보다 안전

단점

1. 구현이 복잡

2. Access Token이 만료될 때마다 새롭게 발급하는 과정에서 생기는 HTTP 요청이 잦음

인증은 왜 필요할까?

A와 B의 유저가 은행 사이트에서 각 본인의 잔액을 확인하기 위해 로그인을 하고 본인들의 잔액을 확인할 수 있습니다. 여기서 로그인은 A와 B를 구분하는 인증으로 볼 수 있습니다. 또한, A의 잔액을 B나 다른 사용자에게 노출시키면 안되므로 보안으로도 볼 수 있습니다. 현재 가장 많이 사용하는 통신 방식은 HTTP 방식입니다. HTTP의 특징으로 stateless가 있습니다. 이러한 특징으로 인해, 만약 은행 사이트에 인증과 관련된 내용이 없다면 로그인을 한 뒤에 메인 페이지로 이동했을 시, 정보가 사라져 어느 사용자인지 알 수 없습니다. 따라서 사용자마다 다른 정보를 노출하고 저장할 때, 인증은 필수적으로 가져가야 합니다. 아래에서는 다양한 인증 방식과 장단점을 설명합니다.

헤더에 사용자 정보를 추가하여 전달

사용하면 안되는 방식입니다. 로그인 이후에도 다른 페이지를 이동할 때마다 사용자의 정보를 헤더에 추가하여 서버에 전달하는 방식입니다. 개발 초기에 내부에서 테스트를 진행할 때나 사용할 수 있는 방식으로 이러한 방식으로 실제 서비스 운영이 된다면 사용자의 개인정보를 그대로 노출시켜 보안 문제를 발생시킵니다.

장점

1. 인증 방식을 고려할 필요가 없음

2. 편함

단점

1. 보안에 매우 취약

2. 요청이 올 때마다 서버는 전달받은 데이터로 해당 유저가 맞는지 검증해야 하므로 비효율적

세션/쿠키 기반 인증 방식

서버의 세션과 사용자 쿠키를 기반으로 하는 인증 방식입니다.

인증 방식은 아래의 단계와 같습니다.

1. 클라이언트가 로그인을 위해 해당 정보를 서버에 전달
2. 서버는 정보를 읽어 사용자를 확인하고 로그인 성공 시, 사용자를 식별할 수 있는 고유한 세션 ID를 생성하고 이를 메모리나 DB에 저장
   1. 저장하는 곳을 세션 저장소라고 하고 보통 Redis를 많이 사용함
3. 서버는 요청의 결과값으로 세션 ID를 사용자에게 전달
4. 세션 ID를 전달받은 사용자는 쿠키에 해당 값을 저장
5. 이후 다른 페이지 이동이나 사용자 인증이 필요할 때, 헤더에 해당 쿠키를 실어서 전달
6. 서버는 쿠키를 받아서 세션 저장소에 저장이 된 쿠키(세션ID)인지 확인
7. 유효한 쿠키(세션ID)일 경우, 요청받은 데이터를 반환

Redis를 세션 저장소로 사용한다면 세션ID가 서버의 메모리에 저장이 됩니다. 만약 서버 확장 시, 모든 서버가 세션 저장소에 접근할 수 있도록 중앙 세션 저장소 관리가 필요합니다.

장점

1. 쿠키가 포함된 요청이 외부에 노출되어도 쿠키(세션ID)는 유의미한 값을 갖고 있지 않기 때문에 쿠키 자체로 큰 문제를 발생시키지 않음

2. 요청을 주는 각 사용자마다 고유의 세션ID가 발급되어 일일이 회원정보를 확인할 필요 없음

단점

1. 장점 1번에서 쿠키 자체는 유의미하지 않아 노출되도 큰 문제가 없다고 했으나, 사용자 A가 보낸 요청을 해커가 탈취(하이재킹)하여 해당 쿠키로 서버에 변질된 내용으로 HTTP요청을 보내면 서버는 해커의 요청을 A 사용자로 인식하게 됨

• 이를 방지하기 위해 세션의 유효시간을 추가하거나 HTTPS를 사용해 탈취해도 안의 정보를 읽기 힘들게 만들 수 있음

2. 서버에서 세션 저장소를 사용하므로 추가적인 저장공간을 필요로 함

3. 중앙 세션 저장소 관리가 없으면 시스템 확장이 어려움

4. 중앙 세션 저장소에 장애가 발생하면 인증 전체가 문제가 될 수 있음

만약 세션을 사용하지 않고 쿠키만으로 인증을 한다면?

사용자가 로그인 시, 서버는 ID, PWD와 같은 값을 암호화 또는 인코딩으로 변환하여 사용자에게 전달하고 사용자는 이를 쿠키에 저장합니다. 그리고 인증이 필요할 때마다 이 쿠키를 헤더에 담아서 서버에 요청을 하고 서버는 해당 쿠키를 복호화 또는 디코딩으로 풀어 사용하게 됩니다. 여기서 문제는 쿠키가 유의미한 값을 갖게 되기 때문에 외부에 노출이 된다면 헤더에 사용자 정보를 전달하는 방식과 같은 문제를 띄게 됩니다.

1. 기본 세팅

엘라스틱 서치 설치 : https://www.elastic.co/kr/downloads/elasticsearch

한글 형태소 분석기 노리 설치: https://www.elastic.co/kr/blog/nori-the-official-elasticsearch-plugin-for-korean-language-analysis

파이썬3 엘라스틱서치 패키지 설치: https://elasticsearch-py.readthedocs.io/en/master/

2. 파이썬 Elastic Search 세팅

아래는 위에서 설치 받은 한글 형태소 분석기인 nori를 특정 필드에 적용도록 하는 세팅 방법 입니다.

from elasticsearch import Elasticsearch # es 실행 기본포트: 9200, 기본 ip: 루프백 아이피 - 127.0.0.1 (localhost) es = Elasticsearch() # test-index 인덱스가 이미 사용하고 있을 시, 삭제 es.indices.delete(index='test-index', ignore=[400, 404]) body = { "settings": { "index": { "analysis": { "tokenizer": { "nori_tokenizer": { "type": "nori_tokenizer", }, }, "analyzer": { # nori 분석기 설정 "nori_korean": { "type": "custom", "tokenizer": "nori_tokenizer" }, } } } }, "mappings": { "goods": { "properties": { "name": { "type": "text", # name에 nori 형태소 분석기 설정 "analyzer": "nori_korean", }, "description": { "type": "text", }, "name_eng": { "type": "text" }, "pid": { "type": "integer" }, } } } } es.indices.create(index='test-index', body=body) # 테스트 데이터 goods = [ { "name": '주름원피스', "name_eng": "Pleated dress", "pid": 0, "description": '주름진 원피스' } ] for i, data in enumerate(goods): res = es.index(index="test-index", doc_type='goods', body=data, id=i) print(res['result'])

3. 검색하기

query = { "query": { "bool": { "should": [ { "match": { "name": { "query": "주름", "boost": 3 } } } ] } } } res = es.search(index="test-index", body=query)

무심코 사용하고 있는 용어들이 너무 햇갈린다...

라이브러리(Library)와 모듈(Module)

모듈의 의미는 구성 단위, 구성부분 이고 라이브러리는 도서관이라는 뜻을 가지고 있습니다. 개발에서는 라이브러리와 모듈을 동일한 의미라고 생각하면 됩니다. 자주 사용하게 되는 코드를 하나의 함수나 클래스라는 단위로 묶어서 코드를 재사용하게 됩니다. 즉, 이러한 함수 또는 클래스들을 모아서 라이브러리(library) 또는 모듈(module)이라 부릅니다. 라이브러리 또는 모듈은 개발자가 직접 만들 수도 있고 다른 사람이 만든 것을 설치받아 사용할 수도 있습니다. 다시 말해, 라이브러리와 모듈은 동일한 개념으로 재사용이 가능한 코드의 집합으로 볼 수 있습니다.

프레임워크(Framework)

라이브러리와 모듈을 공통적으로 사용하기 위한 부품이라 하면 프레임워크는 기본 뼈대라고 생각하면 됩니다. 개발자가 처음부터 모든 것을 개발을 할 수 있지만, 프레임워크를 사용하면 원하는 기능에만 집중하여 구현할 수 있습니다. 프레임워크 안에는 기본적으로 필요한 기능을 갖추고 있으므로 라이브러리(혹은 모듈)이 포함되어 있습니다.

crontab의 최소 실행시간은 분입니다. 하지만 편법으로 초 단위로 실행할 수 있습니다. 

아래는 30초마다 스크립트를 실행하는 예제입니다.

* * * * * /home/test.sh & sleep 30;/home/test.sh;

sleep을 사용하여 test.sh 스크립트가 1번 실행된 후, 30초 멈춘 다음 다시 세미콜론으로 연결된 test.sh 스크립트를 실행하는 방법입니다. 

아래는 10초 마다 스크립트를 실행 한 후, 성공과 실패 로그를 파일에 쓰는 예시입니다.

* * * * * /home/test.sh > /home/success.log 2>/home/err.log & sleep 10; /home/test.sh > /home/success.log 2>/home/err.log & sleep 10; /home/test.sh > /home/success.log 2>/home/err.log & sleep 10; /home/test.sh > /home/success.log 2>/home/err.log & sleep 10; /home/test.sh > /home/success.log 2>/home/err.log & sleep 10; /home/test.sh > /home/success.log 2>/home/err.log;

프로비저닝(Provisioning)이란 어떠한 지식이나 자원 등을 미리 준비해놓고 요청이 들어왔을 때, 해당 요청에 맞게 공급하는 것을 의미합니다. 즉 사용자 혹은 비지니스 요구사항에 맞게 할당, 배치, 배포하여 시스템을 사용가능하도록 준비하는 절차를 뜻합니다.

프로비저닝은 아래와 같이 분류할 수 있습니다.

서버 자원 프로비저닝

서버의 CPU, Memory 등의 자원을 할당 또는 적절하게 배치하여 운영이 가능하도록 준비

OS 프로비저닝

OS 를 서버에 설치하고, 구성 작업을 해서 OS가 동작 가능하도록 준비

소프트웨어 프로비저닝

소프트웨어(WAS, DBMS, 어플리케이션 등) 를 시스템에 설치 배포하고 필요한 구성을 세팅해서 실행 가능하도록 준비

스토리지 프로비저닝

낭비되거나 사용되지 않는 스토리지를 식별하고 공통 풀에서 옮긴 후 스토리지에 대한 요구가 접수 되면 관리자는 공통 풀에서 스토리지를 꺼내 사용 효율성을 높일 수 있는 인프라 구축 가능하도록 준비