인증과 권한 관리 기초

인증과 권한 부여

• 인증(Authentication) : 사용자의 신원을 확인하는 과정
• 권한 부여(Authorization) : 인증된 사용자에게 특정 리소스에 대한 접근 권한을 부여하는 과정

사용자명/비밀번호 기반 인증

 구현 방법

const bcrypt = require('bcrypt');
 
async function registerUser(username, password) {
  const salt = await bcrypt.genSalt(10);
  const hashedPassword = await bcrypt.hash(password, salt);
  // 데이터베이스에 username과 hashedPassword 저장
}
 
async function authenticateUser(username, password) {
  // 데이터베이스에서 username으로 사용자 정보 조회
  const user = await findUserByUsername(username);
  if (user && await bcrypt.compare(password, user.hashedPassword)) {
    return user;
  }
  return null;
}

 주의사항

• 비밀번호 해싱 : bcrypt, Argon2 등 사용
• 솔팅 : 각 비밀번호마다 고유한 솔트 사용
• 안전한 비밀번호 정책 적용

세션 기반 vs 토큰 기반 인증

 1. 세션 기반 인증

• 작동 원리 : 서버에 세션 정보 저장, 클라이언트에 세션 ID 제공
• 장점 : 서버 측 제어 용이, 즉시 세션 무효화 가능
• 단점 : 서버 메모리 사용, 확장성 제한

 2. 토큰 기반 인증 (JWT)

• 작동 원리 : 서버가 서명된 토큰 발급, 클라이언트가 요청 시 토큰 제시
• 장점 : 서버 상태 비저장, 높은 확장성
• 단점 : 토큰 폐기 어려움, 토큰 크기로 인한 오버헤드

 JWT 예시

const jwt = require('jsonwebtoken');
 
function generateToken(user) {
  return jwt.sign({ id: user.id, username: user.username }, 'secret_key', { expiresIn: '1h' });
}
 
function verifyToken(token) {
  return jwt.verify(token, 'secret_key');
}

OAuth 2.0과 OpenID Connect

• OAuth 2.0 : 권한 부여를 위한 프로토콜
• OpenID Connect : OAuth 2.0 위에 구축된 인증 계층

 작동 방식

1. 클라이언트가 권한 부여 서버에 인증 요청
2. 사용자 동의 후 권한 부여 서버가 인증 코드 제공
3. 클라이언트가 인증 코드로 액세스 토큰 요청
4. 권한 부여 서버가 액세스 토큰 제공
5. 클라이언트가 액세스 토큰으로 리소스 서버에 접근

다요소 인증 (MFA)

 구현 방법

1. 지식 요소 : 비밀번호
2. 소유 요소 : OTP, SMS 인증 코드
3. 생체 요소 : 지문, 얼굴 인식

function verifyMFA(user, password, otpCode) {
  return verifyPassword(user, password) && verifyOTP(user, otpCode);
}

권한 관리 모델

 1. RBAC (Role-Based Access Control)

• 특징 : 역할 기반 접근 제어
• 적용 사례 : 기업 내 직급별 권한 관리

 2. ABAC (Attribute-Based Access Control)

• 특징 : 속성 기반 접근 제어
• 적용 사례 : 복잡한 조건 기반 권한 관리 (시간, 위치 등)

 RBAC 예시

function hasPermission(user, action, resource) {
  const role = user.role;
  return roles[role] && roles[role].includes(`${action}:${resource}`);
}

안전한 비밀번호 정책

 비밀번호 정책 요구 사항

• 최소 길이 요구
• 복잡성 요구 (대소문자, 숫자, 특수문자 조합)
• 정기적인 변경 요구
• 흔한 비밀번호 사용 제한

 사용자 유도 방법

• 비밀번호 강도 미터 제공
• 비밀번호 생성 제안 기능

API 키와 액세스 토큰 관리

 안전한 저장

• 클라이언트 측 : 안전한 저장소 사용 (예 : Android KeyStore, iOS Keychain)
• 서버 측 : 암호화하여 데이터베이스에 저장

 관리 방법

• 정기적인 순환
• 사용 범위 제한
• 모니터링 및 감사

보안 Best Practices

1. 최소 권한 원칙 적용
2. 모든 통신에 HTTPS 사용
3. 비밀번호 해싱에 강력한 알고리즘 사용
4. 입력값 검증 및 이스케이프 처리
5. 세션 관리 강화 (고정 세션 ID 방지)
6. 로그인 시도 제한
7. 2FA/MFA 도입
8. 정기적인 보안 감사 수행

 인증과 권한 관리는 웹 애플리케이션 보안의 핵심 요소입니다. 인증은 사용자의 신원을 확인하는 과정이며, 권한 부여는 인증된 사용자에게 특정 리소스에 대한 접근 권한을 부여하는 과정입니다. 이 두 개념은 밀접하게 연관되어 있지만, 명확히 구분되는 별개의 프로세스입니다.

 전통적인 사용자명/비밀번호 기반 인증은 여전히 널리 사용되고 있습니다. 이 방식에서는 비밀번호의 안전한 저장이 중요한데, 반드시 해싱 알고리즘을 사용해야 하며 솔팅을 적용하여 레인보우 테이블 공격을 방지해야 합니다. bcrypt나 Argon2와 같은 현대적인 해싱 알고리즘을 사용하는 것이 권장됩니다.

 세션 기반 인증과 토큰 기반 인증은 각각의 장단점이 있습니다. 세션 기반 인증은 서버 측에서 더 많은 제어가 가능하지만, 확장성에 제한이 있을 수 있습니다. 반면 토큰 기반 인증(특히 JWT)은 확장성이 뛰어나지만, 토큰 폐기가 어렵다는 단점이 있습니다.

 OAuth 2.0과 OpenID Connect는 제3자 인증을 가능하게 하는 중요한 프로토콜입니다. 이들은 사용자가 여러 서비스에서 하나의 계정으로 인증할 수 있게 해주며, 개발자에게는 복잡한 인증 로직을 구현하지 않고도 안전한 인증 시스템을 제공할 수 있게 해줍니다.

 다요소 인증(MFA)은 보안을 한 단계 더 강화하는 중요한 방법입니다. 지식, 소유, 생체 요소 등 다양한 인증 요소를 조합하여 사용함으로써, 단일 요소 인증의 취약점을 보완할 수 있습니다.

 권한 관리 모델 중 RBAC와 ABAC는 각각 다른 상황에서 유용합니다. RBAC는 구현이 상대적으로 간단하고 관리가 쉽지만, 복잡한 권한 설정에는 한계가 있습니다. ABAC는 더 세밀한 권한 제어가 가능하지만, 구현과 관리가 복잡할 수 있습니다.

 안전한 비밀번호 정책은 사용자 계정 보안의 기본입니다. 복잡성 요구, 최소 길이 설정, 흔한 비밀번호 사용 제한 등의 정책을 적용하고, 사용자에게 강력한 비밀번호 사용을 유도하는 것이 중요합니다.

 API 키와 액세스 토큰의 안전한 관리는 애플리케이션의 전반적인 보안에 큰 영향을 미칩니다. 이들을 안전하게 저장하고, 정기적으로 순환하며, 사용 범위를 제한하는 등의 방법으로 관리해야 합니다.

 마지막으로, 인증과 권한 관리 시스템을 구현할 때는 여러 보안 Best Practices를 준수해야 합니다. 최소 권한 원칙 적용, HTTPS 사용, 강력한 해싱 알고리즘 사용, 입력값 검증, 세션 관리 강화, 로그인 시도 제한, MFA 도입 등이 여기에 포함됩니다.

 결론적으로, 인증과 권한 관리는 지속적인 관심과 업데이트가 필요한 분야입니다. 새로운 보안 위협과 기술의 발전에 맞춰 계속해서 시스템을 개선하고, 사용자 경험과 보안 사이의 균형을 유지하는 것이 중요합니다.