JWT, 세션 관리에 사용하면 위험하다!
by DD
3개월 전
조회수 16
JWT(JSON Web Token)는 세션 유지를 위한 용도로 설계되지 않음을 지적하며, 쿠키 세션(Cookie Session) 사용을 권장함
JWT의 취약점(Vulnerability)을 악용한 공격 사례가 빈번하며, 특히 'alg: none' 취약점이 대표적임
Spring 개발자를 포함한 일부 개발자들이 JWT를 무분별하게 사용하는 경향에 대한 비판이 제기됨
PASETO와 같은 안전한 대안 기술(Secure Alternative Technology)을 통해 JWT의 문제점을 해결할 수 있음을 제시함
JWT의 보안 취약점과 공격 사례
토론에서는 JWT(JSON Web Token)가 세션 관리(Session Management)에 부적합하며, 다양한 보안 취약점에 노출될 수 있다고 지적한다. 특히, 'alg: none' 취약점과 같이 JWT의 잘못된 사용(Misuse)으로 인한 공격 사례가 빈번하게 발생한다고 언급한다. CVE(Common Vulnerabilities and Exposures) 목록을 통해 JWT 관련 취약점의 심각성을 강조하며, 안전한 세션 관리를 위해 다른 기술을 고려해야 함을 시사한다.
쿠키 세션(Cookie Session)과 PASETO의 대안 제시
토론에서는 JWT 대신 쿠키 세션(Cookie Session)을 사용하여 세션을 관리하는 것이 더 안전하다고 권고한다. 쿠키 세션은 세션 ID(Session ID)를 서버 측에 저장하여 관리하므로, JWT에 비해 보안성이 높다는 평가를 받는다. 또한, JWT의 대안으로 PASETO를 제시하며, PASETO는 JWT보다 안전하고 사용하기 쉽다는 장점을 강조한다. PASETO(Platform-Agnostic Security Tokens)는 안전한 토큰 생성을 위한 새로운 표준으로 부상하고 있다.
