refresh Token은 왜 사용하는건가요??

Question

액세스 토큰이 탈취될 가능성이 있어서, 탈취된 경우 피해를 최소화하기 위해 리프레쉬 토큰을 사용한다고 이해했습니다.

액세스 토큰만을 사용하고, 액세스 토큰을 브라우저의 쿠키에 저장한다고 했을때 쿠키에 httponly, secure 설정 / 서버에 csrf토큰 및 https를 적용하면 
Csrf 및 Xss 공격을 예방하고 
쿠키에 저장된 액세스 토큰이 암호화 되어 있어 이를 가로챈다고 해도 원래 값을 알아낼 수 없으니 액세스 토큰 자체가 탈취될 가능성을 배제할 수 있을 것 같은데

어떤 이유에서 리프레쉬 토큰을 쓰는건가요???

정말 너무 너무 궁금한데 지식이 부족해 구글링으로 속시원한 답을 찾아낼 수 없어 질문 올려봅니다..!

김하림 · Accepted Answer

사용자 편의를 위해서라고 보시면 될 거 같아요.
액세스 토큰이 만료되면 사용자 로그인이 풀리고, 다시 로그인을 해야 되는 상황이 오는데, 사용자 입장에서는 번거롭죠.
특히 보안을 신경 쓴다고 액세스 토큰 만료 기간을 짧게 하면 사용자가 로그인 하는 횟수가 더 늘어나는데, 이렇게 되면 사용자 경험에도 안 좋고 이탈률도 높아질거에요.
토큰이 만료되면 서버에 보내서 새 걸로 바꿔달라고 하면 되지 않나?
라고 생각하실 수 있는데, 그럼 사실상 토큰의 보안성이 무용지물이 되죠.
이 때 토큰과 별개로 리프레시 토큰이라는 개념이 생겨나고, 리프레시 토큰을 서버로 보내면 서버가 정상적인 리프레시 토큰인지를 확인하고 새 토큰을 응답으로 내려주게 된거에요. (리프레시 토큰은 보통 만료 기간을 엄청 길게 잡습니다)
이렇게 하면 보안을 위해 액세스 토큰의 만료 시간을 짧게 잡아도 리프레시 토큰이 커버를 해주기 때문에 보안도 챙기고, 사용자는 딱히 뭘 안해도 자동으로 토큰이 갱신되니 매번 로그인해야 하는 번거로움이 줄어들죠.
그럼 또 리프레시 토큰도 탈취당하면 그만 아닌가?라고 생각하실 수 있는데,
맞습니다. 그래서 리프레시 토큰은 서버에서 비정상적인 활동이 없었는지 (평소에 한국 IP 주소를 사용하던 사용자가 중국 IP로 리프레시 토큰을 발급받는다던지) 엄격한 검증을 해서 보안을 강화하는 작업이 필요합니다.
그럼 여기서 또 들 수 있는 생각이, 그냥 리프레시 토큰 없이 만료된 토큰을 서버에 보내고, 서버에서 비정상적인 활동이 없으면 새 토큰을 발급해주면 되는거 아닌가? 라고 생각하실 수 있을텐데요.
이렇게 되면 언제든지 만료된 토큰을 가지고 리프레시를 받을 수 있기 때문에 다시 보안성이 저하되는 문제가 생깁니다. 결국 다시 리프레시 토큰이 필요하게 됩니다.
결론적으로, 리프레시 토큰은 보안과 사용자의 편의성 두 마리 토끼를 잡기 위해 생겨났다로 정리가 가능합니다.

이상선 · Answer

리프레쉬 하려고 사용해요. 저세히 알고 싶으면 채팅요