[네트워크-인증] 쿠키, 세션, JWT 토큰

OSI 7 Layer 중 애플리케이션 계층은 네트워크 상에서 애플리케이션이 동작하도록 다양한 기능을 제공하고 물리, 데이터링크, 네트워크 계층을 통해 전송되고 트랜스포트 계층에서 선별된 패킷을 최종적으로 처리한다. 

이번 글에서는 애플리케이션 계층의 HTTP 프로토콜의 헤더에 저장되는 인증 방식에 대해 알아보자

쿠키와 세션이란?

HTTP 프로토콜은 stateless라는 특징이 있다. 한번 요청이 가고 응답이 오면 그 전의 정보는 저장되지 않고 통신이 끝나는 특징이다. 이러한 특징을 보안하기 위한 개념이 쿠키와 세션이다. 쿠키(Cookie)란 HTTP 헤더와의 통신에서 특정한 정보를 웹 브라우저에 저장시키는 구조 및 저장한 파일이다. 세션(Session)은 서버를 통해 사용자별 정보를 저장하는 방법이다. 세션 데이터는 일반적으로 서버에 저장되며 세션 식별자(Session ID)는 보통 쿠키에 저장된다.

쿠키는 웹 브라우저에 작은 정보가 저장된 데이터 조각을 저장해 놓았다가, 동일한 서버에 재 요청 시 저장된 데이터를 함께 전송한다.

쇼핑 사이트나 SNS 사이트에서 자동 로그인이 되는 이유가 쿠키이다. 웹 브라우저가 사용자 이름과 비밀번호를 이용해서 한 번 로그인을 하면 서버는 세션 ID를 발생하고 Set-Cookie 헤더에 설정해서 리스폰스한다. 그 후의 리퀘스트는 쿠키 헤더에 세션 ID를 설정해서 수행되기 떄문에 자동으로 로그인이 되는 것이다.

 

1. 사용자가 최초 로그인을 한다.

2. 서버가 해당 사용자에 대한 세션 ID를 발행하고 사용자 정보를 서버에 저장한다.

ex)

사용자	세션 ID
user1	1234
user2	1111

 

3. set-Cookie 헤더를 이용해서 세션ID를 response한다.

ex) 

HTTP/1.0 200 OK
Content-type: text/html
Set-Cookie: SID=1234

[page content]

 

4. 그 후의 로그인이 필요한 request는 Cookie 헤더의 세션 ID를 통해 세션 정보가 저장된 서버를 통해 권한이 있는 사용자인지 아닌지 검사한다.

GET /sample_page.html HTTP/1.1
Host: www.example.org
Cookie: SID=1234;

 

이미지 출처: https://medium.com/geekculture/cookies-sessions-1cb9e4ad6f7b

 

JWT 토큰이란

JWT 토큰이란 JSON 객체에 인증에 필요한 정보들을 담은 후 비밀키로 서명한 토큰이다.

JWT 토큰 구성요소

JWT 토큰은 헤더(header), 페이로드(payload), 서명(signature)로 구성된다.

헤더에는 암호화 알고리즘 방식와 토큰의 유형을 나타내는 정보가 들어가 있다. ex) { "alg": "HS256", "typ": "JWT" }
페이로드에는 토큰의 사용자의 실제 데이터와 토큰에 대한 정보가 들어가 있다. 

ex) { "sub": "1", "iss": "hyerim", "exp": 1238423, "iat": 12344656 } 

sub - 토큰 제목 (사용자에 대한 식별 값)

iss - 토큰 발급자

exp - 토큰 만료 시간

iat - 토큰 발급 시간

서명에는 인코딩된 헤더와 페이로드가 들어간다. 인코딩된 헤더와 페이로드, 비밀키(Secret key) 를 알고리즘을 통해 해싱하여 저장된다.

 

JWT 토큰은 각 3가지 구성요소가 점(.)을 이용하여 연결되어 생성된다.

 

JWT 토큰 동작 프로세스

1. 사용자가 로그인 한다.

2. 로그인 정보에 따라 JWT 토큰을 비밀키와 함께 발급한다.

3. 사용자 권한이 필요한 요청을 보낼때마다 토큰 정보를 HTTP 헤더에 담아 보낸다.

4. 서버에서 JWT 토큰을 비밀키로 디코딩한 후 사용자 정보를 체크하고 권한이 있는지 확인한다.

 

쿠키/세션 인증, JWT 토큰 인증의 장단점

	장점	단점
쿠키/세션	네트워크 부하 낮음	세션 저장소 사용으로 인한 서버 부하
JWT 토큰	인증에 대한 정보가 토큰 자체에 저장되어 있어 별도의 저장소 필요 없음	- 토큰의 길이가 길어 인증 요청이 많아질수록 네트워크 부하가 심해짐 - 토큰 강제 만료가 어려움

---

 

 

참고자료

[도서] - 그림으로 공부하는 TCP/IP 구조

https://developer.mozilla.org/ko/docs/Web/HTTP/Cookies

https://velog.io/@gimminjae/JWT%EB%9E%80-%EC%99%9C-%EC%82%AC%EC%9A%A9%ED%95%A0%EA%B9%8C-%EC%9E%A5%EB%8B%A8%EC%A0%90%EC%9D%80