한양과학기술고등학교

토큰 문자열을 그대로 복사해 jwt.io 같은 사이트에 붙여넣으면 페이로드가 그대로 보인다. 즉 JWT에 비밀번호·주민번호 같은 민감정보를 넣으면 안 된다. 서명은 "내용 보호"가 아니라 "위조 방지"다.

위 PAYLOAD의 "role": "student" 를 "admin" 으로 고쳐 보자. 토큰 문자열은 바뀌지만, 비밀키를 모르면 서명을 다시 만들 수 없다. 아래 검증기는 서버가 하는 일을 흉내 낸다 — 받은 토큰의 앞 두 조각으로 서명을 재계산해서 토큰에 붙어온 서명과 일치하는지만 본다.

# 1) 헤더·페이로드를 각각 JSON → Base64URL 인코딩
h = base64url(json(header))
p = base64url(json(payload))

# 2) 두 조각을 점으로 이은 뒤, 비밀키로 HMAC-SHA256
signing_input = h + "." + p
sig = base64url( HMAC_SHA256(key=secret, msg=signing_input) )

# 3) 최종 토큰 = 세 조각을 점으로 연결
token = signing_input + "." + sig

# 검증(서버): 같은 방식으로 sig 를 다시 계산해서 비교
assert HMAC_SHA256(secret, h + "." + p) == b64url_decode(sig)

HMAC(Hash-based Message Authentication Code)은 "메시지 + 비밀키"를 함께 해시해서 만든 짧은 지문이다. 비밀키가 1글자만 달라도 결과가 완전히 달라지고, 지문만 보고 비밀키를 역산할 수 없다. 그래서 비밀키를 가진 서버만 올바른 서명을 만들 수 있다.

alg: "none" 공격: 옛날 라이브러리 중엔 헤더의 alg 를 none 으로 바꾸면 서명 검증을 통째로 건너뛰는 버그가 있었다. 그래서 서버는 허용할 알고리즘을 코드에 고정하고, 클라이언트가 보낸 alg 값을 그대로 믿으면 안 된다.

정답은 없다. 모바일 앱·여러 서버·다른 회사 API 연동엔 JWT가, 단일 웹서비스로 즉시 차단이 중요하면 세션이 편하다. 이 학교 서버의 fastapi-lms 는 세션 방식, 많은 오픈 API는 JWT(또는 그 친척인 OAuth 액세스 토큰)를 쓴다.

• 비밀키는 길고 무작위하게, 코드/깃에 넣지 말고 환경변수로. 유출되면 누구나 관리자 토큰을 만든다.
• 서버는 허용 알고리즘을 고정(algorithms=["HS256"])하고 alg: none 을 거부한다.
• 만료(exp)를 짧게. 탈취돼도 피해 시간이 줄어든다. 긴 세션은 refresh token으로.
• 토큰을 localStorage에 두면 XSS 한 방에 털린다. HttpOnly 쿠키 + SameSite 가 더 안전.
• 민감정보는 페이로드에 넣지 않는다 — 서명돼 있어도 내용은 평문이다.
• 서명 비교는 상수 시간 비교(timing-safe)로. 라이브러리를 직접 만들지 말고 검증된 것을 쓴다.