Development/Spring Framework, Security, OAuth2 검색 결과

해당 글 14건
반응형

Spring Framework Event 사용하기(Using Spring Framework Event)

이번 글에서는 Spring Framework 에서 Event를 사용하는 방법에 대해서 설명합니다. 필자는 이번에 개발중인 애플리케이션에서 고객사마다 커스터마이징 되는 부분을 어떻게 처리할 것인가에 대한 고민이 있었습니다. 기본적으로는 중심코드를 기반으로 이벤트를 처리하고 확장 또는 커스터마이징되는 코드에 대해서는 이벤트로 확장을 처리하도록 구현되었습니다. 본 예제는 스프링 프레임워크 4.2 이상에서 구현된 코드입니다. 이벤트 처리의 장점 - 처리하는 코드의 코드 일원화 - 비즈니스 로직과 부가적인 로직의 분리 - 커스터마이징에 대한 대응 1. 이벤트 생성하기 이벤트 인터페이스(가상클래스) 본 가상클래스는 Map 기반으로 간단한 이벤트를 구현하였습니다. Map을 사용한 이유는 추가적인 데이터를 동적으로 넣..
Development/Spring Framework, Security, OAuth2 2022. 7. 5. 16:10

Network Socket Tunnel Server via SSL(SSL을 통한 보안 네트워크 소켓 터널링)

일반적인 네트워크 통신은 TCP를 기반으로 암호화 없이 처리됩니다. 물론, 소켓 자체를 SSL 기반으로 생성된 경우에는 추가적으로 SSL 기반으로 소켓통신을 해야 하는 문제가 있습니다. 예를 들어, 데이터베이스에 접속할 때 데이터베이스가 SSL을 지원하지 않거나 JDBC 드라이버가 SSL 통신을 지원하지 않으면 데이터베이스 값에 대하여 보안을 유지할 수 없습니다. 이번 글에서는 SSL을 기반으로 보안네크워크를 구성하여 SSL을 사용하지 않는 환경에서도 터널링을 통하여 네트워크 통신을 보호하는 기능을 설명합니다. Service Client에서 Service Server로의 통신은 SSL 통신을 하지 않는 일반적인 TCP 통신으로 가정합니다. 이런 구조에서 Socket Server와 SSL Server를 추..
Development/Spring Framework, Security, OAuth2 2021. 3. 29. 16:06

OAuth Interceptor & Custom Annotation

이번 포스트에서는 Inerceptor에서 OAuth 인증을 처리하기 위해여 Annotation을 사용하는 방법에 대해 설명합니다. 이전의 포스트들에서는 규격에 의해 구현된 OAuth를 사용하였습니다. 현재 진행중인 프로젝트에서는 규격과는 조금 다르게 처리하도록 로직을 변경하였습니다. 변경된 내용 - "Implicit Grant Type"에서도 Refresh Token 사용을 사용하도록 처리 - Refresh Token을 통한 Access Token 발급 시 데이터베이스 에서 Refresh Token을 조회하여 검증 - Refresh Token 및 Access Token 은 RSA 2048 규격으로 암호화하여 발급/검증 - 단말장치의 식별값을 통하여 발급주체와 인증주체가 동일한 단말장치에서의 접근인지 추가..
Development/Spring Framework, Security, OAuth2 2020. 2. 17. 13:55

Spring Framework, Interceptor와 Filter 사용하기

OAuth 기반으로 Request의 인증처리를 하기 위해서 전역으로 보안검사를 하는 구조를 만들기 위한 가장 간단한 방법은 Spring Framework의 Interceptor또는 Filter를 사용해야 합니다. 아래의 그림은 전체적인 Spring에서 Request를 처리하는 과정입니다. 그림에서 Filter는 Spring의 DispatcherServlet 외부에서 Interceptor는 DispatcherServlet의 내부에서 동작하는 것을 볼 수 있습니다. Interceptor vs Filter 위 그림의 구성도를 참고해 보면 Filter에서는 모든 요청에 대해서 전처리 또는 후처리를 처러할 수 있으며 Interceptor에서는 요청에 대하여 보다 상세적인 처리가 가능합니다. 즉, Intercept..
Development/Spring Framework, Security, OAuth2 2020. 2. 17. 11:20

Spring Boot with OAuth2 - 10. OAuth2 Client 구현

이번 포스트에서는 "Authorization Code Grant Type" 방식으로 OAuth2 Server에 접근하는 OAuth2 Client를 구현하는 방법에 대해서 설명합니다. OAuth2 Client 동작 설명 사용자는 Client 서버에 로그인을 요청합니다. Client 서버는 Auth 서버로 로그인 요청/권한 부여를 요청합니다. Auth 서버는 로그인 페이지를 응답합니다. 로그인 페이지에서 Auth 서버로 클라이언트의 정보를 요청합니다. Auth 서버는 SavedRequest에 저장된 클라이언트 ID를 추출하고 클라이언트정보를 반환합니다. 사용자는 로그인 아이디와 암호를 입력하고 승인을 요청합니다. Auth 서버는 입력값이 유효하다면 권한 부여코드를 생성를 생성하고 Callback 주소로 권한..
Development/Spring Framework, Security, OAuth2 2019. 12. 23. 16:45

Spring Boot with OAuth2 - 9. OAuth2 Server 로그인화면 수정

페이스북이나 구글 계정 로그인을 사용하는 경우 아래와 같은 로그인 화면을 사용합니다. 현재까지의 로그인 페이지를 실제 업무에 활용하기는 다소 부족한 점이 많습니다. 이번 포스트에서는 OAuth2 Server의 로그인 화면 수정하는 방법에 대해서 설명합니다. 구글 로그인에서는 클라이언트 정보, 기존 계정정보, 다른 계정 사용, 권한 또는 공개범위를 표시합니다. 또한 다른 계정 사용을 클릭한 경우에는 계정 추가 및 신규 계정 발급까지도 지원합니다. 페이스북 로그인의 경우에도 클라이언트정보, 권한 및 공개범위, 로그인된 계정이 있을 경우에는 바로 표시하고 변경하고 싶을 경우에는 수정 링크를 제공하여 다른 계정도 사용할 수 있도록 지원합니다. 이제부터 구현하려는 기능은 페이스북이나 구글로그인과 최대한 비슷하게 ..
Development/Spring Framework, Security, OAuth2 2019. 12. 17. 10:52

Spring Boot with OAuth2 - 8. OAuth2 Server - Client, User Cache

Access Token 및 Refresh Token을 발급하는 과정에서 Client 및 User의 검증을 위해 데이터베이스 질의를 하게 됩니다. 특히 Client 정보를 읽어오는 질의문은 신규 키 발급 시 5회 이상 이루어집니다. 이번 포스트에서는 메모리에 Client 및 User 정보를 캐싱하는 방법에 대해서 설명합니다. 초기 캐싱을 처리하기 위해 AOP를 고려하였습니다. 하지만, 설정의 잘못인지 작업 중인 프로젝트에서는 정상적으로 동작하지 않았습니다. 필자의 기술력 부족일 수도 있으나 데이터베이스를 통해 자체적으로 구현한 ClientDetailsService와 UserDetailsService 로직이 있어 굳이 AOP를 통해서 캐싱을 처리할 필요성을 크게 느끼지 못했습니다. 또한, AOP에 대해서 명..
Development/Spring Framework, Security, OAuth2 2019. 12. 3. 11:33

Spring Boot with OAuth2 - 7. JWT Refresh Token 관리

앞선 포스트(4. OAuth2 Server 확장 3 - JwtTokenStore)에서는 JWT(Json Web Token)을 통하여 Access Token과 Refresh Token을 처리하는 시스템을 구현하였습니다. 필자는 여러 사이트의 문서들을 살펴본 결과 JWT기반의 Refresh Token의 보안성이 다소 떨어진다고 판단하였습니다. (적어도 관리적인 측면에서는 일부 기능의 보완이 필요하다고 보았습니다.) JWT기반 Token의 장단점과 보안 이슈 JWT기반의 Access Token과 Refresh Token의 시스템은 다음과 같은 장점이 있습니다. Token자체에 인증정보를 포함하므로 Authorization Server에 Token의 정합성을 질의하지 않으므로 부하를 분산시킨다. 별도의 저장소를..
Development/Spring Framework, Security, OAuth2 2019. 12. 2. 15:58

Spring Boot with OAuth2 - 6. OAuth2 Server 접근/권한 제어

본 포스트에서는 접근제어에 대하여 설명합니다. OAuth2에서는 권한관리를 포함합니다. Client의 Scope와 Authority, User의 Authority를 통하여 접근제어가 가능합니다. 접근제어를 사용하기 표현식을 사용하는 방법은 다음을 참고하십시오. (https://docs.spring.io/spring-security/site/docs/3.0.x/reference/el-access.html#el-common-built-in) hasRole([role]) : 현재 사용자의 권한이 파라미터의 권한과 동일한 경우 hasAnyRole([role1,role2]) : 현재 사용자의 권한디 파라미터의 권한 중 일치하는 것이 있는 경우 principal : 사용자를 증명하는 주요객체(User)를 직접 접근..
Development/Spring Framework, Security, OAuth2 2019. 11. 27. 17:25

Spring Boot with OAuth2 - 5. OAuth2 Resource Server 분리

지난 포스팅에서 Jwt를 이용하여 인증서버를 구성하는 방법을 설명하였습니다. 이 시스템에서는 서비스영역과 인증영역이 병합되어 있어 추후 시스템의 확장 또는 제공 서비스에 따라 시스템을 분리하기가 어렵습니다. 본 포스팅에서는Authorization Server와 Resource Server를 분리하는 방법에 대해서 설명합니다. Resource Server 분리하기 Jwt 방식을 사용하는 경우 import java.io.IOException; import java.io.InputStreamReader; import java.io.Reader; import org.slf4j.Logger; import org.slf4j.LoggerFactory; import org.springframework.context.a..
Development/Spring Framework, Security, OAuth2 2019. 11. 27. 17:19
반응형