시크릿 키는 JWT 기반 인증에 사용되는 비밀 키이며, 이를 생성하는 방법은 무엇인가요?

최근에는 JWT 기반 인증 작업을 시작했습니다. 사용자 로그인 후 사용자 토큰이 생성되며 다음과 같은 형식을 가집니다:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ.

이는 세 부분으로 구성되어 있으며 각 부분은 점(.)으로 구분됩니다. 첫 번째 부분은 Base64로 인코딩된 헤더입니다. 디코딩하면 다음과 같은 결과가 나옵니다:

{
  alg: HS256, // 사용된 알고리즘
  typ: JWT
}

두 번째 부분은 클레임(해당 정보)이며 Base64로 인코딩되었습니다. 디코딩하면 다음과 같은 결과가 나옵니다:

{
  sub: 1234567890,
  name: John Doe,
  admin: true
}

세 번째 부분은 시그니처로 다음과 같이 생성됩니다:

HMACSHA256(
 base64UrlEncode(헤더) + . +
 base64UrlEncode(페이로드),
 *시크릿 키를 Base64로 인코딩한 값*
)  

그렇다면 이 시크릿 키는 무엇이며 이를 어떻게 생성할 수 있을까요?

저는 http://kjur.github.io/jsjws/tool_jwt.html과 같은 온라인 생성기를 시도해봤습니다.

하지만, 도움을 많이 받지 못했습니다.

답변 1

config.env:

JWT_SECRET = 내-32-자리-초고보안-및-초장기-비밀키
// 90일 이후에는 JWT가 더 이상 유효하지 않으며, 심지어 서명도 정확하고 모든 것이 일치합니다.
JWT_EXPIRES_IN=90

이제 다음 명령을 사용하여 JWT를 설치합니다.

npm i jsonwebtoken

사용자가 가입하면 JWT 토큰을 전달하여 로그인 상태를 유지하고 리소스에 액세스 할 수 있습니다.

exports.signup = catchAsync(async (req, res, next) => {
  const newUser = await User.create({
    name: req.body.name,
    email: req.body.email,
    password: req.body.password,
    passwordConfirm: req.body.passwordConfirm,
  });
  const token = jwt.sign({ id: newUser._id }, process.env.JWT_SECRET, {
    expiresIn: process.env.JWT_EXPIRES_IN,
  });
  res.status(201).json({
    status: 'success',
    token,
    data: {
      newUser,
    },
  });
});

결과:

나의 의견으로는, 슈퍼 시크릿 키를 생성하기 위해 제3자의 도움을 받지 마십시오. 왜냐하면 더 이상 그것을 비밀로 할 수 없기 때문입니다. 키보드를 사용하세요.

답변 2

업무와 개인 활동 등 인터넷 환경에서 우리는 종종 웹 사이트 또는 앱에 로그인을 해야 합니다. 이러한 인증 작업에서 일반적으로 사용되는 방법 중 하나는 JWT 기반 인증입니다. JWT는 JSON Web Token의 약자로, 인증된 사용자에게 안전한 정보를 제공하는 토큰입니다.
JWT 기반 인증에서는 시크릿 키(secret key)가 중요한 역할을 합니다. 시크릿 키는 JWT를 생성하고 검증할 때 사용되며, 토큰의 위조를 방지하는 역할을 합니다. 이 시크릿 키는 암호화된 토큰을 해독하고 정당한 사용자를 인증할 수 있게 해줍니다.
시크릿 키를 생성하는 방법은 안전한 방법으로 수행되어야 합니다. 보안 전문가들은 시크릿 키를 생성하는 데에 무작위의 문자열 생성기를 사용하는 것을 권장합니다. 길이가 적어도 256비트 이상인 무작위 문자열을 생성해야 합니다. 이러한 긴 시크릿 키는 토큰을 안전하게 보호하는 역할을 합니다.
또한, 시크릿 키는 암호화되지 않은 텍스트 형식으로 저장되지 않아야 하며, 다른 사람들에게 알려지지 않도록 보호되어야 합니다. 보안 위험을 최소화하기 위해 시크릿 키는 규칙적으로 업데이트되어야 합니다.
시크릿 키를 생성한 후에는 해당 키를 JWT 라이브러리를 사용하여 인증 과정에서 활용할 수 있습니다. 일반적으로 JWT는 세 부분으로 구성됩니다. 헤더(header), 페이로드(payload), 시그니처(signature)가 그것입니다. 헤더는 토큰의 유형과 사용된 알고리즘을 지정합니다. 페이로드는 사용자에 대한 정보를 담고 있으며, 시그니처는 시크릿 키를 사용하여 토큰이 위조되지 않았는지를 확인합니다.
요약하자면, JWT 기반 인증에서 시크릿 키는 인증 과정에서 매우 중요한 역할을 합니다. 이 시크릿 키는 토큰의 보안을 유지하고 사용자를 인증하는 데 사용됩니다. 무작위의 긴 문자열로 생성되어야 하며, 암호화되지 않은 텍스트로 저장되지 않아야 합니다. 그리고 이러한 시크릿 키는 규칙적으로 업데이트되어 보안 위험을 최소화해야 합니다. 이러한 절차를 따르면 안전한 인증 시스템을 유지할 수 있습니다.
-키워드: JWT 기반 인증, 시크릿 키, 토큰, 토큰 생성, 긴 문자열, 보안, 암호화, 인증 절차, 안전한 인증 시스템