토큰 기반 인증이란 무엇인가요?

비밀번호가 가장 일반적인 인증 방식이지만, 유일한 옵션은 아니며 항상 최선의 선택도 아닙니다. 예를 들어, 비밀번호는 각 계정에 대해 고유하고 강력한 비밀번호를 요구합니다.

토큰 기반 인증은 인증 데이터를 토큰 내에 인코딩합니다. 이 토큰은 다른 애플리케이션으로 전송될 수 있으며, 애플리케이션은 내부에 저장된 인증 데이터를 읽고 사용자가 시스템에 접근할 수 있는 권한이 있는지를 판단합니다.

토큰 기반 인증 작동 방식

토큰 기반 인증 시스템은 신원 및 접근 관리 (IAM) 프로세스를 서로 다른 시스템에서 수행되는 두 단계로 나눕니다. 인증은 인증 서버에서 수행되며, 권한 부여는 각 개별 애플리케이션이나 시스템에서 관리됩니다. 이 시스템들은 동일한 조직 내에 있을 수도 있고, 권한 부여 시스템이 다른 시스템의 사용자 신원 인증을 신뢰하도록 구성되어 있다면 서로 다른 조직에 걸쳐 있을 수도 있습니다. 소셜 미디어 계정을 통해 웹사이트에 로그인하는 것은 토큰을 사용하여 수행되는 조직 간 인증의 예입니다.

첫 번째 단계에서 사용자는 비밀번호 또는 다른 수단을 통해 인증 서버에 자신의 신원을 증명합니다. 이 시스템은 사용자의 비밀번호를 수신하는 유일한 시스템으로, 다양한 보안 및 사용성 이점을 제공합니다. 사용자를 인증한 후, 인증 서버는 사용자의 신원에 대한 정보를 포함하는 토큰을 생성합니다. 이 토큰은 사용자가 접근하고자 하는 애플리케이션에 대한 요청에 포함됩니다.

이 토큰을 수신하고 그 내용을 검증한 후, 애플리케이션은 사용자가 주장하는 신원임을 확신할 수 있습니다. 이 정보를 바탕으로 사용자가 해당 요청을 할 권한이 있는지 판단하고 자원에 대한 접근을 제공하거나 거부할 수 있습니다.

토큰의 일반적인 사용 사례는 다음과 같습니다:

• 애플리케이션 간 인증: 비밀번호는 주로 사람이 애플리케이션에 인증하기 위해 설계되었습니다. 애플리케이션이 서로 상호작용할 때는 일반적으로 토큰이나 다른 인증 수단을 사용합니다.
• 통합 인증(SSO): 토큰 기반 인증은 SSO의 핵심으로, 사용자가 여러 앱에 접근하기 위해 한 번만 인증할 수 있도록 합니다. 이 경우, 인증 서버의 토큰은 SSO를 사용하는 각 앱에서 신뢰됩니다.
• 토큰 만료: 비밀번호는 긴 수명을 가지고 있어 비밀번호 추측 공격에 더 취약하며, 손상된 자격 증명의 영향을 연장합니다. 토큰은 내장된 만료 날짜가 있어 도난당할 경우 위험을 제한합니다.

JSON 웹 토큰(JWT)이란 무엇이며, 어떻게 작동합니까?

대부분의 토큰 기반 인증 방식은 JSON 웹 토큰(JWT)을 사용하여 구현됩니다. 이 토큰은 세 가지 주요 필드를 포함합니다:

• 헤더: 토큰 유형 및 사용된 암호화 알고리즘과 같은 메타데이터를 포함합니다.
• Payload: 권한 부여에 사용되는 인증 정보를 포함합니다.
• 서명 페이로드 데이터의 진위를 암호학적으로 증명합니다.

사용자의 신원을 확인한 후, 인증 서버는 사용자 데이터와 페이로드에 토큰 만료 날짜를 포함하는 JWT를 생성합니다. 이 데이터를 수신하는 애플리케이션은 서명을 검증하고, 토큰이 만료되지 않았는지 확인한 후, 포함된 정보를 사용하여 요청을 승인합니다.

JWT는 가장 일반적으로 사용되는 토큰 중 일부이지만, 유일한 것은 아닙니다. 예를 들어, 보안 주장 마크업 언어(SAML)는 기업 애플리케이션을 위한 SSO를 구현하는 데 사용되는 또 다른 일반적인 표준입니다.

토큰 기반 인증의 다양한 유형

JWT는 인증 데이터에 대한 정해진 형식을 제공하지만, 단지 데이터 형식일 뿐입니다. 애플리케이션은 이러한 토큰을 생성, 전송 및 사용하는 방법을 이해하기 위한 공통 프로토콜이 필요합니다. 가장 일반적인 두 가지 토큰 기반 알고리즘은 OAuth2.0과 OpenID Connect(OIDC)입니다.

OAuth 2.0

OAuth 2.0은 사용자 자격 증명을 공유하지 않고 권한 부여를 가능하게 하는 토큰 기반 인증에 의존하는 권한 부여 프로토콜입니다. 목표는 사용자가 다른 애플리케이션(“소비자”)에 대해 특정 작업을 수행하도록 권한을 부여하는 것이며, 이를 위해 “서비스 제공자”에 대한 사용자 자격 증명을 제공하지 않는 것입니다.

이를 위해 소비자는 사용자를 서비스 제공자로 리디렉션하며, 사용자는 해당 서비스에 대한 일반 비밀번호를 사용하여 인증합니다. 그 후 서비스 제공자는 사용자가 소비자의 요청을 승인했는지 확인합니다. 그렇다면 소비자가 서비스 제공자의 사용자 계정에 접근할 수 있도록 사용할 수 있는 액세스 토큰이 생성됩니다. 이것은 서비스 제공자에 대한 사용자의 비밀번호를 공개하지 않고 요청을 승인합니다.

OpenID Connect (OIDC)

OpenID Connect (OIDC)는 OAuth 2.0 위에 구축된 인증 및 권한 부여 프로토콜입니다. OIDC는 사용자를 인증하기 위한 신원 계층을 추가하며, JWT에 신원 정보를 저장하고 OAuth 2.0이 부족한 인증 기능을 제공합니다.

OIDC의 주요 사용 사례는 SSO를 구현하여 단일 인증 요청으로 여러 애플리케이션에 접근할 수 있도록 하는 것입니다. 이 프로토콜은 애플리케이션 간에 사용자 신원 및 프로필 데이터의 일관된 교환을 가능하게 하는 표준 클레임 집합을 포함합니다.

토큰 기반 인증의 장점

토큰 기반 인증은 애플리케이션 간에 인증 정보를 안전하게 전달할 수 있게 하여, 애플리케이션이 자체적으로 사용자 인증을 수행할 필요를 없애줍니다. 이는 사용자와 조직에 많은 이점을 제공합니다.

사용자 경험 개선

토큰 기반 인증 체계는 SSO의 기초가 되며, 사용자가 한 번 인증하면 여러 애플리케이션에 접근할 수 있도록 합니다. 여러 비밀번호를 기억하고 입력할 필요가 없으므로 운영 효율성과 사용자 경험이 향상됩니다.

고급 보안

토큰 기반 인증은 모든 애플리케이션이 사용자 비밀번호를 수락하고 관리할 필요를 없애 보안을 강화합니다. 종종 사용자는 약하거나 재사용된 비밀번호를 가지고 있으며, 이러한 비밀번호는 만료되지 않습니다. 토큰을 사용함으로써 애플리케이션은 민감한 인증 정보를 저장할 필요가 없습니다. 또한, 토큰은 자동으로 만료되어 공격자가 손상된 자격 증명을 남용할 수 있는 시간을 줄입니다.

더 큰 확장성과 효율성

토큰은 서버가 사용자의 기존 세션에 대한 정보를 저장할 필요를 없애줍니다. 이로 인해 서버는 더 적은 서버 측 리소스를 소비하므로 더 많은 사용자를 지원할 수 있습니다.

세분화된 접근 관리

JWT 및 기타 토큰은 단순한 사용자 이름을 넘어 다양한 신원 데이터를 전달할 수 있습니다. 또한, 애플리케이션은 특정 시나리오에 맞게 권한 부여를 조정할 수 있어 최소 권한 원칙 (POLP) 및 기타 제로 트러스트 원칙을 더 잘 시행할 수 있습니다. 이 조합은 토큰 기반 인증 체계가 매우 세분화된 접근 관리 정책을 구현할 수 있게 합니다.

자주 묻는 질문

OAuth 2.0과 토큰 기반 인증의 차이점은 무엇인가요?

OAuth 2.0은 사용자 권한 부여를 구현하기 위해 액세스 토큰을 사용하는 특정 프로토콜의 예입니다. 토큰 기반 인증은 더 일반적이며 사용자 인증을 위해 토큰을 사용하는 모든 체계를 포함합니다.

비밀번호 기반 인증과 토큰 기반 인증의 차이점은 무엇인가요?

비밀번호 기반 인증을 사용하는 애플리케이션은 사용자 자격 증명 데이터를 저장하고 사용자가 해당 애플리케이션에 대한 비밀번호를 제공하여 인증하도록 요청합니다. 토큰 기반 인증에서는 인증 서버가 비밀번호 또는 기타 자격 증명을 수락하고 사용자의 신원을 증명하는 토큰을 생성하여 사용자가 접근하고자 하는 애플리케이션에 전송합니다.

토큰 기반 인증의 단점은 무엇인가요?

토큰 기반 인증은 일반적으로 비밀번호 기반 인증보다 강력한 보안을 제공하지만 위험도 동반합니다. 예를 들어, 도난당한 토큰은 합법적인 사용자로 인증하는 데 사용될 수 있으며, 토큰을 디지털 서명하는 데 사용되는 개인 키가 도난당해 가짜 액세스 토큰을 위조하는 데 사용될 수 있습니다.

Cato의 SASE 솔루션으로 토큰 기반 인증 관리

토큰 기반 인증은 인증 서버가 사용자의 신원을 확인한 다음, 그 신원을 증명하는 토큰을 애플리케이션에 전송하여 인증과 권한 부여를 분리합니다. 이 접근 방식은 다양한 이점을 가지고 있으며 SSO 프로토콜의 기초가 됩니다.

토큰 기반 인증은 Cato SASE Cloud의 제로 트러스트 네트워크 액세스(ZTNA) 기능과 Cato 관리 애플리케이션(CMA)과 같은 많은 현대의 아이덴티티 및 액세스 관리(IAM) 시스템의 중심이기도 합니다.

 Cato와 함께 귀하의 조직을 위한 제로 트러스트 보안 구현에 대해 더 알아보려면, 무료 데모에 등록하세요.