🔒 왜 보안 전문가들은 JWT를 싫어할까? 요즘 로그인 구현 튜토리얼을 보면 오랫동안 사용되던 백엔드에서 직접 stateful한 로그인 세션을 유지하는 방법이 아닌 JWT 규격을 사용한 무상태

🔒 왜 보안 전문가들은 JWT를 싫어할까? 요즘 로그인 구현 튜토리얼을 보면 오랫동안 사용되던 백엔드에서 직접 stateful한 로그인 세션을 유지하는 방법이 아닌 JWT 규격을 사용한 무상태 세션을 구현 방법이 많이 보입니다. 소셜 로그인 구현에 쓰이는 OpenID Connect 프로토콜도 역시 JWT 규격을 채택하기도 했죠. 그렇다면 왜 보안 전문가들은 JWT를 싫어하는 걸까요? 가장 큰 이유는 다른 보안 표준과 비교해 치명적인 실수를 하기 쉬운 표준이기 때문입니다: 예를 들어 WT 토큰 인증 방법 중 하나는 "none"인데요, 이를 명시하면 토큰의 인증을 아예 스킵해 버립니다! 테스트 상황에선 쓸만 하겠지만, 토큰의 보안을 제거 하는 방법이 너무 쉬운 보안 규격이라는 지적이죠. 실제 이를 악용한 공격도 많이 있습니다. 더 크게 보면 무상태 세션에 대한 큰 취약점 때문에 JWT가 욕을 먹는 상황도 있습니다. 바로 인증된 토큰을 쉽게 차단할 방법이 없기 때문인데요. 토큰이 탈취된 걸 알아도, 인증이 만료가 될 때까지 기다리거나, DB에 차단된 토큰 리스트를 저장해야 하는데... 후자를 채택하면 결국 "무상태 세션"이 아니게 되니 JWT의 메리트가 떨어지죠. 결론은 - JWT는 날카로운 칼 같아서 쉽게 베이는데, 사용자 인증처럼 중요한 과정에 쓰이는게 불편하다!가 보안 전문가들의 의견 같습니다.