소프트웨어 개발에서 인증 대 권한에 관한 모든 것

요즘에는 소프트웨어 개발이 점점 더 복잡해지고 많은 정보 보안 위협이 존재합니다. 이러한 트렌드를 따라가기 위해, 인증 대 권한 메커니즘이 탄생하여 이 문제를 해결하고 소프트웨어의 보안을 향상시키는 데 도움이 되고 있습니다.

Table of contents

1. 인증이란 무엇인가요? 몇 가지 인기 있는 인증 방법

인증은 정보 인증의 한 형태로, 애플리케이션의 보안 수준을 높입니다. 출처: globalsign.com

1.1. 개념

인증은 사용자 정보 및 암호를 인증하여 신원을 확인하고 사용자가 특정 데이터에 액세스할 권한이 있는지 확인하는 과정입니다.

1.2. 분류

인증에는 두 가지 유형이 있습니다: HTTP 기본 인증 및 다중 요소 인증.

– HTTP 기본 인증

HTTP 기본 인증은 HTTP 프로토콜을 통해 응용 프로그램 보안을 강화하기 위한 인증 형식입니다. 이 형식은 사용자가 소프트웨어를 사용할 때 로그인 이름과 암호를 제공하도록 요구합니다. 서버는 브라우저에서 사용자 정보를 수집하여 데이터를 안전하게 보호합니다.

– 다중 요소 인증 (MFA)

다중 요소 인증은 여러 단계의 인증 단계를 필요로 하는 보안 시스템으로, 로그인 또는 다른 형태의 트랜잭션을 수행하기 위해 여러 인증 단계를 필요로 합니다.

다중 요소 인증은 주로 비밀번호, 보안 토큰 및 생체 인증을 결합합니다.

여러 가지 요소를 결합하면 응용 프로그램에 견고한 보안 계층이 생성되어 해커로부터의 침입을 방지합니다.

1.3. 일부 인기 있는 인증 방법

– 비밀번호

비밀번호는 가장 간단하고 쉽게 배포할 수 있는 인증 방법입니다. 사용자는 비밀번호를 입력하도록 요청받으며, 시스템은 정보를 일방향 암호화된 형태로 저장하여 해킹되더라도 비밀번호를 복구할 수 없게 보장합니다.

– 공개 전자키

공개 키 암호화는 공개 키와 개인 키를 사용한 암호화 알고리즘을 통한 인증 방법입니다. 시스템 리소스에 액세스하려면 기기에 개인 키가 있어야 하며 로그인 정보를 기억하지 않고 응용 프로그램에 로그인할 수 있습니다.

– 생체 인증

생체 인증은 지문, 얼굴 및 기타 인간의 생체적인 요소를 통한 인증 방법입니다. 이 방법은 사용자가 기억하지 못할 경우를 대비하여 ID 및 비밀번호와 결합될 때 주로 사용됩니다.

2. 사용자 로그인 저장 메커니즘

사용자 로그인 저장 메커니즘에는 기본 인증, 세션 기반 인증 및 토큰 기반 인증이라는 3가지 기본 메커니즘이 있습니다.

2.1. 기본 인증

기본 인증은 가장 일반적이고 가장 간단한 사용자 로그인 저장 메커니즘입니다. 출처: wallarm.com

Basic Authentication는 웹 애플리케이션의 가장 간단한 인증 메커니즘 중 하나로, 많은 서버에서 자동으로 쉽게 통합될 수 있습니다.

장점:

간단하며 대부분의 브라우저와 서버와 호환됨
쿠키, 세션, 토큰을 사용한 다른 방법과 쉽게 결합 가능

단점:

각 요청이 사용자 이름과 비밀번호를 전송해야 하므로 비밀번호 및 로그인 이름에 대한 정보를 쉽게 노출시킬 수 있음.
로그인 정보를 브라우저에 자동으로 저장해야 하므로 사용자가 수동으로 로그인할 수 없음.
사용자 친화적이지 않은 인터페이스로 사용자 경험을 매우 지루하게 만듦.

2.2. 세션 기반 인증

세션 기반 인증은 쿠키를 사용하여 사용자 정보를 저장하는 메커니즘입니다. 출처: dienmaycholon.vn

2.2. 세션 기반 인증

세션 기반 인증은 서버 사용자 세션을 기반으로 하는 신원 확인 메커니즘입니다. 성공적인 인증 후, 서버는 사용자의 비밀번호와 사용자 이름을 저장합니다.

서버의 저장 위치는 데이터베이스와 파일이고, 클라이언트의 저장 위치는 쿠키 메모리와 웹사이트 URL입니다.

장점:

– 정보가 비공개로 유지됨:

클라이언트는 전송 프로세스 중에 어떠한 사용자 정보도 알지 못하고 세션 ID만을 알게 됩니다.

– 작은 정보 전송 용량:

세션 ID는 사용자 정보를 포함하지 않고 약 20-50자의 특수 문자열일 뿐이므로 각 요청은 작은 용량이며 전송이 더 쉽습니다.

– 클라이언트에게 영향을 미치지 않음:

세션 기반 인증 사용자 저장 메커니즘은 서버 측에서만 정보를 편집하면 됩니다. 브라우저는 거의 추가 정보를 처리하지 않고 자동으로 응답합니다.

단점:

– 많은 메모리를 차지함:

각 사용자 요청마다 클라이언트는 새로운 세션을 만들어 메모리에 저장합니다. 세션의 증가는 응용 프로그램의 메모리 과부하를 초래할 수 있습니다.

– 데이터 계산이 어려움:

세션 데이터가 서버에 저장되므로 응용 프로그램 데이터를 계산하는 데 어려움이 있을 수 있습니다.

– 도메인에 따라 다름:

쿠키를 통한 확인의 경우 쿠키는 도메인에 따라 달라지므로 사용자의 로그인은 도메인에 의존합니다.

– 공격에 취약함:

세션 ID는 대부분 쿠키에 저장되는데, 쿠키는 해커의 공격에 취약하므로 응용 프로그램이 공격에 노출될 수 있습니다.

2.3. 토큰 기반 인증

토큰 기반 인증은 많은 클라이언트에 적합한 사용자 정보 저장 메커니즘입니다. 출처: hackernoon.com

2.3. 토큰 기반 인증

토큰 기반 인증은 서버에서 생성된 사용자 정보를 포함하는 문자열을 생성하고 클라이언트 컴퓨터에 저장하는 신원 확인 메커니즘입니다.

장점:

– 상태가 없음:

토큰은 자체 저장되므로 서버는 어떠한 정보도 저장할 필요가 없습니다. 이는 토큰의 출처를 알 필요없이 수평 응용 계산 (수평 확장성)을 가능하게 합니다.

– 다양한 클라이언트에 적합:

토큰은 웹 브라우저, 모바일 애플리케이션, IoT 기기를 포함한 다양한 클라이언트를 효과적으로 저장하고 전송할 수 있습니다.

– 도메인에 제한되지 않음:

토큰을 사용하면 쿠키를 사용하는 메커니즘과 달리 서드 파티가 더 쉽게 운영할 수 있으며 도메인에 의존하지 않습니다.

단점:

– 로그아웃 관리가 어려움:

서버는 사용자 토큰 또는 세션에 대한 어떠한 정보도 저장하지 않기 때문에 로그아웃을 제어하기 어려워집니다.

– 정보가 쉽게 노출됨:

사용자 로그인 세션에 대한 정보가 토큰에 있으며 클라이언트 측에 저장되어 있으므로 전송 중에 정보 노출의 위험이 있습니다.

3. 권한이란 무엇인가요? 몇 가지 권한 부여 방법

권한은 신원 확인 이후 응용 프로그램 데이터에 대한 액세스 수준을 인증하는 과정입니다. 출처: cybermeteoroid.com

3.1. 개념

권한은 사용자에게 응용 프로그램의 데이터에 대한 액세스 권한을 결정하는 과정입니다. 신원 확인 프로세스 이후 권한 부여 프로세스가 발생하여 파일, 데이터베이스, 응용 프로그램 또는 기타 리소스 사용 권한 수준을 결정합니다.

권한의 목적은 사용자가 라이선스 권한을 행사하고 보호된 키로 리소스에 액세스하며, 권한이 없는 사용자로부터의 공격을 방지하는 것입니다.

3.2. 몇 가지 권한 부여 방법:

– API 키

API 키는 주로 특정 응용 프로그램과 관련된 권한 부여 형식으로, API 키를 사용하는 사용자를 식별합니다. API는 공개 키와 비밀 키로 구성되어 서버와 사용자 간의 통신을 지원합니다.

Microservices와 API 게이트웨이: 중요성과 실제 응용

기술 발전 시대에는 다양한 플랫폼과 통합된 애플리케이션을 사용하는 것이 사용자들 사이에서 트렌드로 자리잡고 있습니다. 이러한 복잡한 애플리케...

– 기본 인증

기본 인증은 사용자가 HTTPS를 통해 헤더에 로그인 이름과 비밀번호를 입력하는 권한 부여 형식입니다. 기본 HTTP 인증을 구현하는 것은 응용 프로그램 리소스에 대한 액세스를 제어하는 가장 간단한 방법입니다.

– HMAC

HMAC는 디지털 서명 알고리즘을 통해 메시지를 인증하는 코드 기반의 권한 부여 프로세스입니다. HMAC은 보안 키에 대한 액세스 권한이 발신자와 수신자만 가지고 있도록 보장합니다.

– OAuth

OAuth는 사용자가 비밀번호를 제공하지 않고도 인터넷 사용자가 응용 프로그램 정보에 액세스할 수 있도록 하는 권한 부여 형식입니다.

OAuth는 아마존, 구글, 페이스북 및 마이크로소프트와 같은 많은 대기업에서 적용하는 형식으로, 사용자가 타사 응용 프로그램과 계정 정보를 교환할 수 있게 도와줍니다.

4. Authentication vs Authorization 구별

Distinguish between Authentication vs Authorization

인증(Authentication)과 권한 부여(Authorization)는 완전히 다른 두 인증 프로세스입니다. 출처: ssl2buy.com

Authentication (인증)과 Authorization (권한 부여)은 종종 혼동되는 두 용어입니다. 그러나 이들은 완전히 다른 개념으로, 몇 가지 차이점이 있습니다. 이러한 차이점은 다음과 같습니다:

Authentication	Authorization
인증은 권한 부여의 첫 번째 단계입니다.	권한 부여는 성공적인 인증 이후의 단계입니다.
인증은 응용 프로그램에 액세스 권한을 부여하기 위해 신원을 확인하는 데 도움이 됩니다.	권한 부여는 응용 프로그램에 포함된 리소스에 대한 액세스 권한을 정의하는 데 도움이 됩니다.
보통 사용자 이름과 비밀번호가 필요합니다.	보안에 따라 다양한 인증 요소가 필요할 수 있습니다.
인증이 표시되며 사용자가 해당 부분을 변경할 수 있습니다.	권한 부여는 표시되지 않으며 변경할 수 없습니다.