## 소개 [OpenID Connect Protocol](https://openid.net/specs/openid-connect-core-1_0.html)은 널리 채택된 신원 관리의 기본적인 프레임워크를 제공하는 표준으로, OIDC라고도 합니다. 이는 잘 알려진 OAuth 2.0 프로토콜 위에 구축된 인증 계층입니다. OAuth 2.0이 자원 권한 부여에 대한 것이라면, OIDC는 새롭게 도입된 ID 토큰의 도움으로 클라이언트 인증을 표준화하고 강화하는 프로토콜입니다. 잠깐... OAuth 시대에 새로고침 토큰과 액세스 토큰을 들어본 적이 있고, 이제 여기에 OIDC의 새로운 개념이 추가되었다고요? 이 토큰들 사이의 차이점을 정말 이해하고 있나요? [Logto](https://logto.io/)는 OIDC 프로토콜 위에 구축된 종합적인 고객 신원 및 액세스 관리 (CIAM) 솔루션입니다. 우리 커뮤니티에서 사용자들이 가장 자주 묻는 질문 중 하나는 다음과 같습니다. > **새로 고침 토큰, 액세스 토큰, 그리고 ID 토큰 사이의 차이점은 무엇인가요?** 그래서 이 포스트에서는 OIDC 토큰의 핵심적인 측면들에 대해 자세히 설명하면서, Logto가 개발자 경험을 어떻게 향상시키는지도 살펴볼 것입니다. 5분 안에 Logto 클라우드를 사용해보세요 ## 실질적인 시나리오부터 시작해 봅시다 일반적인 클라이언트-서버 어플리케이션에 작업하고 있는 상황을 상상해 보세요. 그들은 RESTful API를 통해 서로에게 메시지를 전달합니다. 당신은 대부분의 API를 비공개로 유지하고자 하며, 오직 권한이 있는 클라이언트만이 접근을 허용하고자 합니다. 그러면 첫 번째로 떠오르는 질문이 있을 것입니다. ### 내 API를 보호하기 위해 어떤 타입의 토큰이 필요한가요? 빠른 대답은: 액세스 토큰입니다. OIDC에서는 각 보호된 API가 리소스로 취급됩니다. 액세스 토큰은 클라이언트가 API 리소스를 요청할 때 서버에 전송하는 바로 그 자격 증명입니다. 대체로 이는 요청 헤더를 통해 이루어집니다. 서버 측에서는 요청이 들어올 때마다 서버는 오직 들어오는 요청이 유효한 액세스 토큰을 가지고 있는지 검증하기만 하면 됩니다. 액세스 토큰은 사용자를 대신해서 보호된 리소스에 접근 권한을 부여하는 단기 유효 인증입니다. 사용자가 OIDC를 사용해서 성공적으로 인증하면, 인증 서버에서 액세스 토큰을 발급합니다. 이 토큰은 사용자 정보, 권한, 유효 기간 등에 관한 정보를 포함하고 있습니다. 이 토큰은 그 후 요청할 때마다 함께 리소스 서버에 전송되어, 서버가 사용자의 신원을 확인하고 요청한 리소스에 대한 접근을 승인할 수 있게 합니다. 그러나, 당신은 아마 생각할 수 있습니다: 클라이언트 애플리케이션에서 성공적인 로그인 후에 유효한 액세스 토큰을 가질 수 있고, 서버 API에 액세스 토큰을 사용하여 요청할 수 있다면 충분하다는 것입니다. 왜나는 새로 고침 토큰과 ID 토큰이 필요한가? 실제로 이는 훌륭한 질문이고, 단계별로 설명을 해 볼 것입니다. ### 왜 우리는 새로고침 토큰이 필요한가요? 기술적으로 액세스 토큰은 시스템을 작동시키는 데 필요한 최소 요구사항을 충족시킵니다. 그러나, 보안 상의 우려로 인해 액세스 토큰의 유효 기간은 일반적으로 매우 짧습니다 (대체로 1시간). 따라서 우리가 오직 액세스 토큰만 가지고 있다면, 최종 사용자는 액세스 토큰이 만료될 때마다 다시 인증해야 합니다. 현대의 싱글 페이지 웹 애플리케이션과 특히 모바일 애플리케이션에 있어서는, 자주 로그 아웃하는 것은 매우 불편한 사용자 경험이며, 비록 우리가 그들의 사용자 보안을 보호하려고 노력하고 있다고 해도 말입니다. 그래서, 우리는 토큰 보안과 사용자 편의성 사이의 균형이 필요합니다. 그래서 OIDC는 새로 고침 토큰을 도입했습니다. 새로고침 토큰은 새로운 액세스 토큰을 받기 위해서 사용자에게 재인증을 요구하지 않는 더 긴 기간 동안 유효한 토큰입니다. 이는 말그대로 더 많은 키를 보유하게 해주는 열쇠와 같습니다. 새로 고침 토큰은 액세스 토큰이 만료되거나 갱신이 필요할 때 사용됩니다. 이는 액세스 토큰에 비해 더 긴 유효 기간을 가지며, 종종 몇 일, 몇 주, 혹은 몇 달간 지속되곤 합니다. ### 왜 새로 고침 토큰은 더 긴 수명을 가질 수 있는가? 액세스 토큰은 API 리소스에 접근하는 데 사용되므로, 그들의 단기 유효성이 유출되거나 침해될 위험을 완화시킵니다. 한편, 새로고침 토큰은 새로운 액세스 토큰을 얻기 위해 사용되기 때문에 액세스 토큰처럼 자주 사용되지 않으므로 노출의 위험이 줄어듭니다. 따라서 새로 고침 토큰에 대해 더 긴 유효 기간을 갖는 것이 허용되는 이유입니다. ### 새로 고침 토큰 보안 보장 새로고침 토큰은 또한 클라이언트 측에 저장되므로, 그들이 침해되지 않게 하는 것은 도전적입니다. 특히 싱글 페이지 웹 애플리케이션 (SPA)와 같은 공개 클라이언트에 대해서는 말입니다. Logto에서는 새로 고침 토큰에 자동 [회전 메커니즘](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12)이 기본적으로 활성화되어 있어, 이것은 인증 서버가 다음 기준을 충족하는 즉시 새로운 새로 고침 토큰을 발급한다는 것을 의미합니다. - 싱글 페이지 애플리케이션: 이러한 앱은 새로 고침 토큰 회전이 필요한 비전송 제약 클라이언트로 인식됩니다. 새로 고침 토큰의 유효 기간 (TTL)은 지정할 수 없습니다. - 네이티브 앱과 전통적인 웹 앱: 새로 고침 토큰 회전이 본질적으로 활성화되어 있으며, 이는 그것의 TTL의 70% 도달 시 자동으로 갱신됩니다. [더 알아보기](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) 관리 콘솔에서 응용 프로그램 세부 정보 페이지에서 새로 고침 토큰 회전을 비활성화할 수는 있지만, 이 방어책을 유지하도록 강력히 권장합니다. ### ID 토큰의 본질 [ID 토큰](https://openid.net/specs/openid-connect-core-1_0.html#IDToken)은 클라이언트가 서버를 요청하지 않고 기본 사용자 정보를 얻을 수 있게 합니다. ID 토큰은 OIDC가 도입한 새로운 토큰 타입으로, 캐시된 사용자 인증 정보를 담아 성능을 향상시키고 최종 사용자 경험을 향상시킵니다. 액세스 토큰들은 리소스 서버만이 이해할 수 있도록 의도되었지만, ID 토큰들은 클라이언트 친화적입니다. 클라이언트가 OIDC 토큰 교환 요청을 할 때, 액세스 토큰과 함께 ID 토큰을 요청할 수 있습니다. ID 토큰은 사용자 이름, 이메일, 아바타 사진 등의 사용자 요구사항을 포함하는 JSON 웹 토큰 (JWT)입니다. 이는 인증 서버에 의해 서명되고, 클라이언트는 이를 오프라인으로 확인하고 디코딩할 수 있습니다. 이는 특히 현대의 싱글 페이지 웹 앱과 모바일 앱에 있어서 유용하면, 클라이언트는 ID 토큰을 캐시하여 사용자의 인증 상태를 확인하고, 이는 총체적으로 성능과 사용자 경험을 크게 향상시킵니다. 또한, ID 토큰들은 보호된 리소스에 접근 권한을 부여하는 데 사용되지 않는다는 점을 주목하는 것도 중요합니다; 이 역할은 액세스 토큰이 담당합니다. Logto에서는 우리도 클라이언트 측에서 인증 상태를 확인하는 데 도움이 되도록 우리의 SDKs에 ID 토큰을 사용합니다. 예를 들어, 우리의 [JS SDKs](https://docs.logto.io/docs/references/applications/#rotate-refresh-token)에서 볼 수 있습니다: ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` 그러나, 위에서 언급했듯이, 클라이언트 SDK의 `isAuthenticated` 플래그는 오직 클라이언트 캐시 상태에 불과합니다. 실시간 인증 상태는 여전히 서버를 통해 확인되어야 하며, 새로 고침 및 액세스 토큰을 확인하는 것을 통해 이루어집니다. 우리는 또한 우리의 SDKs에서 `getUserClaims()` 함수를 제공하여 ID 토큰을 디코딩하고 사용자 요구사항을 얻는 데 도움을 줍니다. 그러나, 캐시된 상태는 사용자가 다시 로그인할 때까지 갱신되지 않습니다. OIDC 서버에서 실시간 사용자 정보를 얻고자 한다면, 대신에 `fetchUserInfo()`를 사용하십시오. ## Logto의 이점과 기능 Logto는 엄격하게 OIDC 프로토콜을 따르도록 구축되었으며, 동시에 개발자들과 기업들에게 추가적인 기능과 이점을 제공합니다: 1. 편리한 SDKs: Logto SDKs은 토큰 관리를 스트림라인화해 줍니다. 당신은 수동으로 새로 고침 토큰과 액세스 토큰을 저장할 필요가 없습니다. 단순히 `getAccessToken()`를 호출하면, SDK는 항상 저장된 액세스 토큰을 재사용하려고 시도하거나, 그것이 만료된 경우 자동으로 갱신합니다. 2. 새로 고침 토큰 회전: Logto는 새로 고침 토큰 회전 메커니즘을 강제합니다. 이는 당신의 새로 고침 토큰이 항상 소비된 후 갱신된다는 것을 보장하며, 이로써 유출되거나 침해될 위험을 완화합니다. 관리 콘솔에서는 여전히 이를 비활성화할 수 있지만, 그것을 켜 두는 것을 강력히 권장합니다. 3. 최적화된 성능: ID 토큰의 도움으로, 당신은 서버를 요청하지 않고 기본 사용자 정보를 항상 얻을 수 있습니다. Logto SDKs에 의해 제공되는 `isAuthenticated` 상태와 `getIdTokenClaims()` 함수를 활용하여 클라이언트 측에서 사용자 인증 상태를 확인하고 사용자 요구사항을 디코딩하십시오. 4. 향상된 보안: Logto는 HTTPS와 TLS를 사용하여 클라이언트와 인증 서버간의 안전한 연결을 강제합니다. 이는 당신의 토큰을 무단으로 절취하는 제3자에 의한 절취로부터 안전하게 보호하며, 당신의 시스템의 보안을 보장합니다. ## 결론 OIDC 프로토콜에서는 새로고침 토큰, 액세스 토큰, 그리고 ID 토큰이 함께 작동하여 사용자 인증을 안전하고 원활하게 제공합니다. - 새로 고침 토큰은 새로운 액세스 토큰에 대한 사용자 개입을 제거합니다. - 액세스 토큰은 보호된 리소스에 접근 권한을 제공합니다. - ID 토큰은 클라이언트에 캐시된 사용자 정보를 제공하여 성능을 향상시킵니다. 이러한 토큰의 역할과 중요성을 이해하는 것은 그들의 애플리케이션에 OIDC 인증을 구현하는 개발자들에게 중요합니다. Logto를 선택함으로써, 개발자들과 기업들은 이러한 OIDC 기능의 전체 잠재력을 풀어낼 수 있으며, 사용자 데이터를 보호하며 원활한 사용자 경험을 제공하는 견고하고 안전한 인증 시스템을 통합할 수 있습니다. 오늘 Logto를 사용해보세요