• 목차

OAuth란?

• 웹 사이트를 보다 보면 Google, Facebook 및 Twitter 등의 외부 소셜 계정을 기반으로 간편히 회원 가입 및 로그인할 수 있는 웹 애플리케이션을 볼 수 있다.
• 예를 들어, OAuth 프로토콜을 바탕으로 제 3자 서비스(윈티드)는 사용자 인증을 위해서 외부 서비스(Facebook, Apple, Google)의 특정 자원을 접근 및 사용할 수 있는 권한을 인가 받는다.
• 직접 해당 사이트에 회원 가입을 하지 않고 Google, Facebook 등 외부 계정을 사용하여 간편하게 사용자 인증을 하는 방식
• Open Authentification는 인터넷 사용자들이 비밀번호를 제공하지 않고 다른 웹 사이트 상의 자신들의 정보에 대한 웹 사이트나 애플리케이션의 접근 권한을 부여할 수 있는 공통적인 수단으로서 사용되는, 접근 위임을 위한 개방형 표준 방법이다.

OAuth 참여자(요소)

• Service Provide(제 3자 외부 서비스) : Client가 제어하고자 하는 자원을 보유하고 있는 서버
  • Facebook, Google, Twitter 등
  • Service Provider의 종류
    • Authorization Server(인증 서버) : 인증 및 권한 부여를 담당
    • Resource Server(리소스 서버) : 사용자 데이터 관리 담당
• Resource Owner(커뮤니티 사용자) : 외부 애플리케이션(Google, Facebook, Kakao 등)에 이미 개인정보를 저장(회원 가입)하고 있으며 Client가 제공하는 서비스를 이용하려는 사용자
  • 제공하는 서비스를 통해 로그인하는 실제 회원
• Client(커뮤니티 서비스) : Resource Server에 접속해서 정보를 가져와 로그인 기능을 구현할 클라이언트
  • 자사 또는 개인 웹 애플리케이션 서버

OAuth 프로세스

• Client 정보 등록 (최초 1회)

  1. Service Provider(제 3자 외부 서비스)에 Client(커뮤니티 서비스) 정보 등록

  2. 등록 시 Client별로 고유로 식별할 수 있는 Client ID와 Client Secret Key 정보를 제공

     (Client Secret Key는 절대 노출되면 안된다.)

• OAuth 사용한 로그인 인증 요청(PAYCO)

  • 사용자 : Resource Owner
  • 서비스 : Client
  • PAYCO : Service Provide
    • PAYCO 인증 서비스 : Authorization Server
    • PAYCO API 서비스 : Resource Server

  

  1. Resource Owner(사용자)가 Client에게 PAYCO 서비스 접근 및 로그인 요청
  2. Client는 Service Provider에 인증 요청
  3. Service Provider는 Resource Owner에게 로그인 페이지 제공(302 Redirect)
     1. 추가로 나의 PAYCO 정보에 Client의 접근을 승인할지 묻는 질의 제공
  4. Resource Owner는 로그인 인증 및 권한 사용 승인
  5. 인증이 되면 Service Provider는 Authorization Code 발급
  6. Authentication Code를 302 Redirect를 통해 Resource Owner가 모르게 슬쩍 Client에게 전달
  7. Client는 자신을 증명하는 Client ID와 Client Secret Key 정보와 발급 받은 Code ****정보를 Service Provider에 보내서 Access Token 요청
  8. 검증 결과 Client ID와 Client Secret Key 정보와 발급 받은 Code ****정보가 유효하다면 Client에게 Access Token 발급 (Client는 DB에 Token 저장하여 자체적으로 관리)
  9. Client는 Resource Owner에게 인증 완료 및 로그인 성공 페이지 응답

• 리소스에 접근 요청

  1. Resource Owner는 Client에게 PAYCO 인증 서비스를 요청
  2. Client는 저장한 Access Token을 이용해 Resource Server에서 인증 서비스 API 호출
     1. Authorization: Bearer <Access Token>
  3. 유효한 Access Token이면 Client에게 API 제공
  4. Client는 받은 API를 가공해서 Resource Owner에게 제공

• Access Token 재발급 요청

  1. 시간이 지나서 Access Token이 만료되면 Refresh Token 재발급
     1. Access Token을 발급 받을 때 expires(유효 시간) 설정

인증 종류

OAuth 2.0의 인증 종류 4가지

• Authorization Code Grant
  • 서버 사이드 코드로 인증하는 방식
  • Authorization Server가 클라이언트와 리소스 서버 간의 중재 역할
• Implicit Grant
  • OAuth 2.0에서 가장 많이 사용되는 방식
  • Public Client인 브라우저 기반의 애플리케이션(Javascript application)이나 모바일 애플리케이션에서 이 방식을 사용
  • 권한 코드 없이 바로 발급 되어서 보안에 취약
  • 주로 Read only(읽기 전용)인 서비스에서 사용
  • 로그인 시에 페이지 URL에 response_type=token 이라고 넘긴다.