[Spring Security] 02. Http Basic이 아닌 OAuth2를 사용하는 이유

HTTP Basic 인증 방식의 주요 취약점 중 하나는 클라이언트가 서버에 요청을 할 때마다 사용자의 자격증명(사용자 이름과 비밀번호)을 인코딩된 형태로 전송해야 한다는 것입니다. 이 방식은 사용자의 자격증명을 매 요청마다 Authorization 헤더에 포함시켜 전송합니다. HTTP Basic 인증은 인증 정보를 Base64 형식으로 인코딩하여 전송하지만, 이는 암호화 방식이 아니라 단순 인코딩에 불과하기 때문에, 인증 정보가 인터넷을 통해 전송될 때 쉽게 노출될 수 있습니다.

HTTP Basic 인증의 취약점

1. 평문 전송 위험: Base64 인코딩은 단순한 인코딩 방식이므로, 네트워크 스니핑을 통해 쉽게 디코딩되어 자격 증명 정보가 노출될 수 있습니다. 이는 특히 암호화되지 않은 HTTP 연결에서 문제가 됩니다.
2. 재사용 공격에 취약: 인증 헤더는 요청마다 전송되므로, 공격자가 이를 가로채면 동일한 요청을 재현하여 서비스를 이용할 수 있습니다.
3. 자격 증명 저장: 클라이언트 측에서 사용자의 자격증명을 저장해야 할 필요가 있을 수 있는데, 이는 보안상 취약점이 될 수 있습니다.
4. 서버 부담: 서버는 매 요청마다 사용자의 자격증명을 검증해야 하므로, 이는 추가적인 처리 부하를 발생시킬 수 있습니다.

보안 강화 방법

• HTTPS 사용: SSL/TLS를 통한 HTTPS 연결을 사용하여 전송 데이터를 암호화함으로써, 중간자 공격을 통한 데이터 노출 위험을 줄일 수 있습니다.
• 보다 안전한 인증 방식 사용: OAuth, JWT(JSON Web Tokens) 같은 보다 안전한 인증 방식을 고려할 수 있습니다. 이러한 방식들은 사용자의 자격증명을 직접 전송하는 대신 토큰 기반의 인증을 제공하여 보안을 강화합니다.
• 강력한 자격증명 정책: 사용자 이름과 비밀번호 외에도, 2단계 인증(2FA) 등 추가적인 보안 조치를 적용할 수 있습니다.

HTTP Basic 인증은 그 구현의 단순함으로 인해 여전히 널리 사용되고 있으나, 보안상의 취약점을 고려할 때 더 안전한 인증 방식으로의 전환을 고려해야 합니다.

Http Basic의 대안은 OAuth2이다.

OAuth2: HTTP Basic 인증의 현대적 대안

HTTP Basic 인증의 주된 취약점 중 하나는 사용자의 자격증명을 매 요청마다 전송해야 한다는 것입니다. 이 방법은 간단하고 이해하기 쉽지만, 보안상 여러 위험을 내포하고 있습니다. 이에 대한 현대적이고 보안이 강화된 대안으로 OAuth2가 널리 사용되고 있습니다.

OAuth2란 무엇인가?

OAuth2는 인터넷 사용자가 비밀번호를 공유하지 않고도, 한 서비스(예: Facebook, Google)의 자신의 정보에 대한 접근 권한을 다른 서비스(예: 사진 공유 사이트)에 부여할 수 있는 개방형 표준입니다. OAuth2는 사용자, 클라이언트 애플리케이션, 권한 부여 서버, 리소스 서버의 네 가지 역할을 정의합니다.

권한 부여 서버(Authorization Server)

권한 부여 서버는 OAuth2의 핵심 컴포넌트 중 하나입니다. 이 서버의 주요 역할은 사용자의 인증과 클라이언트 애플리케이션에 대한 접근 토큰(access tokens) 및 갱신 토큰(refresh tokens)의 발급을 담당합니다. 사용자가 클라이언트 애플리케이션을 통해 특정 리소스에 접근하려고 할 때, 권한 부여 서버는 사용자의 동의를 받아 해당 애플리케이션에 접근 토큰을 제공합니다. 이 토큰은 리소스 서버에 접근할 때 사용됩니다.

리소스 서버(Resource Server)

리소스 서버는 사용자의 데이터와 리소스를 호스팅하는 서버입니다. 예를 들어, 소셜 미디어 플랫폼에서 사용자의 프로필 정보, 사진 등이 리소스 서버에 저장됩니다. 클라이언트 애플리케이션은 권한 부여 서버로부터 받은 접근 토큰을 사용하여 리소스 서버에 접근할 수 있습니다. 리소스 서버는 접근 토큰의 유효성을 검증한 후 요청된 데이터나 리소스에 대한 접근을 허용합니다.

OAuth2의 주요 장점

• 보안성 강화: 사용자의 자격증명이 직접 노출되지 않습니다.
• 유연성: 다양한 권한 부여 흐름을 지원하여, 다양한 시나리오와 애플리케이션 유형에 적용할 수 있습니다.
• 확장성: 새로운 인증 방식이나 기능을 추가하기 쉽습니다.

OAuth2는 HTTP Basic 인증의 제한적인 보안성을 극복하고, 현대 웹 애플리케이션에서 필요로 하는 유연성과 확장성을 제공합니다. 권한 부여 서버와 리소스 서버의 구분은 보안과 리소스 관리를 보다 효과적으로 할 수 있게 해줍니다. 이러한 이유로, 많은 현대

애플리케이션이 사용자 인증 및 권한 부여를 위해 OAuth2를 채택하고 있습니다.

---

OAuth2의 핵심 요소인 토큰에 대한 내용은 다음 게시글을 확인해주길 바랍니다.