'OAuth'
OAuth
OAuth는 "Open Authorization"의 약자로, 사용자 로그인 자격 증명에 접근하지 않고도 제3자 애플리케이션이 사용자의 계정에 접근할 수 있도록 하는 표준 프레임워크입니다. 사용자가 비밀번호를 공유하지 않고 자신의 자원에 대한 제한된 접근을 한 사이트에서 다른 사이트로 허용할 수 있도록 합니다.
OAuth의 작동 방식
OAuth는 사용자 승인, 자격 증명 교환 및 자원에 대한 안전한 접근을 포함하는 일련의 과정을 통해 운영됩니다. OAuth 프로세스에 관련된 주요 단계는 다음과 같습니다:
사용자 승인: 사용자가 제3자 애플리케이션을 통해 서비스를 이용하려고 할 때, 애플리케이션은 계정에 접근하기 위해 사용자에게 권한 요청을 합니다. 이 과정의 목표는 사용자, 제3자 애플리케이션, 서비스 제공자 사이의 신뢰를 구축하는 것입니다.
승인 부여: 권한 요청을 받은 후, 사용자는 서비스 제공자와 인증을 거칩니다. 인증을 받은 다음, 서비스 제공자는 제3자 애플리케이션이 자원에 접근할 수 있도록 사용자 동의를 나타내는 승인 부여를 생성합니다.
토큰 교환: 승인 부여를 받은 제3자 애플리케이션은 이를 서비스 제공자로부터의 액세스 토큰으로 교환합니다. 이 토큰은 애플리케이션이 서비스에서 사용자의 자원에 접근할 수 있도록 하는 자격 증명으로 작용합니다.
자원 접근: 마지막으로, 액세스 토큰을 확보한 제3자 애플리케이션은 이제 사용자의 로그인 자격 증명 없이도 서비스에서 사용자의 자원에 접근할 수 있습니다. 액세스 토큰은 승인 증거로 작용합니다.
OAuth의 주요 개념 및 구성 요소
클라이언트와 자원 소유자
OAuth의 맥락에서 클라이언트는 사용자의 계정에 접근하려는 제3자 애플리케이션을 의미합니다. 자원 소유자는 클라이언트가 접근하려는 자원을 소유한 사용자입니다. 자원 소유자는 접근이 허용되기 전에 클라이언트에 명시적으로 권한을 부여해야 합니다.
승인 서버와 자원 서버
승인 서버는 사용자를 인증하고 승인 부여를 발행할 책임이 있습니다. 클라이언트와 자원 소유자 사이의 신뢰할 수 있는 중개자 역할을 합니다. 반면에 자원 서버는 사용자의 자원을 호스팅하고 관리합니다. 클라이언트가 제공한 액세스 토큰을 검증하고 그에 따라 접근을 허가하거나 거부합니다.
승인 부여 유형
OAuth는 다양한 시나리오와 보안 요구를 충족하기 위해 여러 승인 부여 유형을 지원합니다. 일반적으로 사용되는 부여 유형으로는 다음이 포함됩니다:
Authorization Code: 이 부여 유형은 일반적으로 웹 애플리케이션에서 액세스 토큰을 얻기 위해 사용됩니다. 클라이언트는 우선 사용자를 승인 서버로 리디렉션하여 사용자가 로그인하고 동의를 부여하도록 합니다. 승인 서버는 클라이언트에게 승인 코드를 반환하고, 이는 액세스 토큰으로 교환됩니다.
Implicit: 이 부여 유형은 브라우저 기반 또는 모바일 애플리케이션에 적합합니다. 승인 코드 없이 직접 승인 서버로부터 액세스 토큰을 얻습니다.
Client Credentials: 이 부여 유형은 클라이언트가 자원 소유자가 아닌 자신의 자격으로 활동할 때 사용됩니다. 클라이언트가 자신의 자격 증명(예: 클라이언트 ID와 클라이언트 비밀)을 직접 액세스 토큰으로 교환할 수 있습니다.
OAuth의 모범 사례 및 예방 팁
OAuth 사용 시 계정의 보안과 개인 정보를 보호하기 위해 모범 사례를 따르고 예방 조치를 취하는 것이 중요합니다. 고려할 몇 가지 팁은 다음과 같습니다:
선별적 승인: 신뢰할 수 있는 평판이 좋은 제3자 애플리케이션에만 계정에 접근하도록 허용하세요. 권한을 부여하기 전에 리뷰와 평점을 확인하세요.
권한 검토: 더 이상 사용하지 않거나 필요하지 않은 제3자 애플리케이션에 부여된 권한을 정기적으로 검토하세요. 더 이상 신뢰하거나 필요하지 않은 애플리케이션의 권한을 철회하세요.
이중 인증 사용: 보안을 강화하기 위해 이중 인증을 구현하세요. 사용자가 계정에 접근하기 위해 비밀번호와 함께 인증 코드를 제공해야 하는 추가 정보를 요구합니다.
정보 파악: OAuth 취약점과 모범 사례에 대한 최신 보안 경보 및 뉴스를 계속 업데이트하세요. 잠재적 위험과 보안 조치에 대해 알고 있으면 정보에 근거한 결정을 내리고 계정을 보호할 수 있습니다.
관련 용어
Authorization Code: 웹 애플리케이션이 액세스 토큰을 얻기 위해 사용하는 OAuth 승인 유형입니다.
Access Token: OAuth를 통해 애플리케이션이 사용자의 자원에 접근하기 위해 사용하는 자격 증명입니다.
OAuth 2.0: 더 안전하고 유연한 승인 프레임워크를 제공하는 OAuth의 업데이트된 버전입니다.
참고 문헌
- OAuth 2.0 - IETF. (n.d.). Retrieved from https://tools.ietf.org/html/rfc6749
- Authorization Code Grant vs Implicit Grant in OAuth 2.0 - OAuth.com (2020). Retrieved from https://www.oauth.com/oauth2-servers/authorization/the-authorization-response/
- Preventing OAuth Phishing Attacks - Google Developers (n.d.) Retrieved from https://developers.google.com/identity/protocols/oauth2/user-credentials