3월 10일 월요일: 12장 3장 스터디

[rhino-ty]

유미라: link
윤태연: link
최선아: link

[rhino-ty]

(옮긴이) 현대에 HTTP의 인증요구/응답 프로토콜을 사용하는 인증 프로토콜로는 0Auth가 있다. 0Auth는 모바일 기기 같은 다양한 애플리케이션에서 API 인증을 위해 사용하는 최신 인증 프로토콜이다. OAuth에 대한 더 자세한 내용은 RFC6749를 참고하기 바란다.

OAuth는 일반과 어떻게 다를까요?

[rhino-ty]

RFC6749 참고

OAuth와 HTTP 기본 인증의 차이점

목적과 설계 철학

HTTP 기본 인증

• 단일 서비스에 대한 사용자 직접 인증이 목적
• 사용자가 자신의 자격 증명(ID/비밀번호)을 서비스에 직접 제공
• 단순한 접근 제어를 위한 간단한 메커니즘

OAuth

• 제3자 서비스에 제한된 권한을 위임하기 위한 프로토콜
• 사용자 비밀번호를 공유하지 않고도 접근 권한 부여 가능
• 서비스 간 안전한 권한 위임을 위해 설계됨

작동 방식

HTTP 기본 인증

• 사용자 이름과 비밀번호를 Base64로 인코딩하여 매 요청마다 전송
• 인증 정보가 동일한 수준의 접근 권한 제공
• 접근 범위 제한이나 만료 시간 설정 불가

OAuth

• 토큰 기반 인증 방식 사용
• 사용자는 비밀번호 대신 액세스 토큰으로 서비스 접근
• 특정 권한(scope)과 만료 시간 설정 가능
• 권한 부여 흐름이 복잡하지만 더 안전함

보안 특성

HTTP 기본 인증

• 사용자 자격 증명이 매 요청마다 전송됨(보안 위험)
• 인증 정보 노출 시 모든 권한 노출
• 권한 취소가 어려움(비밀번호 변경 필요)

OAuth

• 사용자 자격 증명을 제3자 애플리케이션과 공유하지 않음
• 토큰에 특정 권한만 포함 가능(최소 권한 원칙)
• 토큰 만료 및 취소 메커니즘 제공
• 앱별로 다른 토큰 발급으로 접근 제어 세분화

HTTP 기본 인증이 단순한 인증에 초점을 둔다면, OAuth는 권한 위임과 접근 제어의 세분화에 중점을 둡니다. 현대 웹과 모바일 환경에서는 여러 서비스 간 상호작용이 많아지면서 OAuth가 더 널리 사용되고 있습니다.