사이버 보안에서 토큰이란 무엇인가요?

사이버 보안에서 토큰은 신원 확인, 사용자 또는 장치 인증, 시스템 또는 리소스에 대한 접근 권한 부여에 사용되는 디지털 또는 물리적 자격 증명입니다. 토큰을 사용하면 사용자, 애플리케이션 및 서비스가 사용자 이름과 비밀번호 같은 자격 증명을 반복적으로 제공하지 않고도 특정 작업을 수행할 권한이 있음을 증명할 수 있습니다.

디지털 토큰은 최신 애플리케이션, 클라우드 환경, API 및 신원 확인 시스템에서 널리 사용됩니다. 예를 들어, 사용자가 인증에 성공하면 ID 공급자는 사용자의 인증된 세션 또는 권한을 나타내는 토큰을 발급할 수 있습니다. 애플리케이션은 보호된 리소스에 대한 접근을 허용하기 전에 토큰의 유효성을 검사할 수 있습니다.

토큰은 암호의 반복적인 노출을 줄이고 조직이 통제되고 임시적이며 제한된 액세스를 제공할 수 있게 하여 보안을 강화할 수 있어요. 하지만 도난당하거나 부적절하게 관리되는 토큰은 공격자에게도 무단 액세스를 줄 수 있어 토큰 보안이 신원 및 액세스 관리의 중요한 부분이 돼요.

핵심 요약

• 사이버 보안에서 토큰은 신원을 확인하거나 접근 권한을 부여하는 데 사용되는 자격 증명입니다. 토큰을 사용하면 사용자, 애플리케이션 및 장치가 비밀번호를 반복적으로 입력하지 않고도 시스템과 리소스에 안전하게 액세스할 수 있습니다.
• 일반적인 보안 토큰 유형으로는 액세스 토큰, 인증 토큰, 세션 토큰, API 토큰, JSON 웹 토큰 (JWT) 이 있어요. 각각은 애플리케이션 및 클라우드 환경 전반에서 인증, 세션 및 권한을 관리하는 데 있어 서로 다른 목적을 수행합니다.
• 토큰 도난은 조직을 심각한 보안 위험에 노출시킬 수 있어요. 유효한 토큰을 탈취한 공격자는 합법적인 사용자를 사칭하고, 민감한 리소스에 접근하며, 원래 암호 없이도 네트워크를 통해 이동할 수 있습니다.
• Protecting tokens requires a Zero Trust approach. Organizations should combine secure token management, least-privilege access, network visibility, and segmentation to limit unauthorized access and contain breaches if credentials are compromised.

보안 토큰은 어떻게 작동해요?

보안 토큰은 사용자, 장치 또는 애플리케이션이 리소스에 액세스할 수 있도록 인증되거나 승인되었다는 증거를 제공하는 방식으로 작동해요.

일반적인 토큰 기반 인증 프로세스는 다음과 같이 작동합니다.

1. 사용자 또는 애플리케이션이 서비스에 대한 접근 권한을 요청합니다.
2. 사용자 또는 애플리케이션은 신원 인증 시스템을 통해 인증합니다.
3. 인증이 성공적으로 완료되면 시스템에서 토큰을 발급합니다.
4. 토큰에는 신원, 세션 또는 권한에 대한 정보가 포함되어 있거나 이를 나타냅니다.
5. 토큰은 보호된 리소스에 대한 접근을 요청할 때 제시됩니다.
6. 수신 시스템은 토큰의 유효성을 검증합니다.
7. 토큰이 유효하고 필요한 권한을 가지고 있으면 접근이 허용됩니다.

토큰은 대개 임시적이며 정해진 기간이 지나면 만료됩니다. 토큰의 유효 기간을 제한하면 공격자가 토큰을 탈취했을 경우 악용할 수 있는 시간을 줄일 수 있습니다.

관련 기사: 마스터 키 문제: 세일즈소프트 위반 사건의 내부와 계속되는 위협

보안 토큰에는 어떤 종류가 있어요?

사이버 보안 에는 여러 종류의 토큰이 사용됩니다. 적절한 유형은 시스템, 인증 방식 및 제공되는 접근 권한 유형에 따라 다릅니다.

일반적인 유형은 다음과 같습니다.

• 액세스 토큰
• 인증 토큰
• Session tokens
• 리프레시 토큰
• API tokens
• JSON Web Tokens (JWTs)
• 하드웨어 토큰
• 소프트웨어 토큰

이 용어들은 때때로 혼용되지만, 인증 및 권한 부여 과정에서 서로 다른 목적을 수행할 수 있습니다.

액세스 토큰이란 무엇인가요?

액세스 토큰은 보호된 리소스에 대한 접근 권한을 부여하는 데 사용되는 자격 증명입니다.

사용자 또는 애플리케이션이 인증되면 권한 부여 시스템은 해당 ID에 부여된 권한을 포함하거나 나타내는 액세스 토큰을 발급할 수 있습니다.

예를 들어, 애플리케이션은 액세스 토큰을 사용하여 사용자를 대신하여 API를 호출할 수 있습니다. API는 토큰을 검증하고 요청된 작업이 해당 토큰과 연결된 권한 범위 내에 속하는지 여부를 판단합니다.

액세스 토큰은 일반적으로 사용 범위와 유효 기간을 제한해야 합니다. 특정 작업에 필요한 권한만 부여하는 것은 최소 권한 원칙을 뒷받침합니다.

인증 토큰이란 무엇인가요?

인증 토큰은 신원 확인 절차의 일부로 사용됩니다.

인증 토큰은 디지털 자격 증명 또는 물리적 장치일 수 있습니다. 예를 들어, 하드웨어 보안 키나 소프트웨어에서 생성된 일회용 코드가 인증 요소로 작용할 수 있어요.

인증 토큰은 다중 요소 인증(MFA) 에 자주 사용됩니다. MFA는 암호와 같이 사용자가 알고 있는 것에만 의존하는 대신 물리적 보안 토큰이나 인증된 장치 같은 사용자가 가진 것을 요구할 수 있어요.

세션 토큰이란 무엇인가요?

세션 토큰은 인증된 사용자가 애플리케이션 또는 서비스와 진행 중인 활성 세션을 나타내는 데 사용되는 고유 값입니다.

사용자가 로그인하면 애플리케이션은 세션 토큰을 발급하여 사용자가 요청할 때마다 자격 증명을 입력할 필요가 없도록 할 수 있습니다.

해당 애플리케이션은 사용자가 로그아웃하거나 세션이 만료되거나 토큰이 무효화될 때까지 인증된 세션과 관련된 요청을 식별하는 데 토큰을 사용합니다.

유효한 세션 토큰은 인증된 사용자를 나타낼 수 있으므로, 공격자가 이를 탈취하면 원래 비밀번호를 몰라도 사용자의 세션을 탈취할 수 있습니다.

API 토큰이란 무엇인가요?

API 토큰은 애플리케이션 프로그래밍 인터페이스(API)에 대한 요청을 인증하거나 승인하는 데 사용되는 자격 증명입니다.

애플리케이션, 스크립트, 워크로드 및 자동화된 서비스는 API 토큰을 사용하여 리소스에 액세스하거나 특정 작업을 수행할 수 있으며, 각 요청에 대해 사람이 수동으로 인증할 필요가 없습니다.

API 토큰은 기계 간 통신이 끊임없이 발생하는 클라우드 및 애플리케이션 환경에서 특히 중요합니다.

조직은 API 토큰 권한을 제한하고, 토큰을 안전하게 저장하고, 적절한 시기에 토큰을 교체하고, 더 이상 필요하지 않은 토큰은 폐기해야 합니다.

JSON 웹 토큰(JWT)이란 무엇인가요?

JSON 웹 토큰(JWT)은 당사자 간에 클레임을 안전하게 전송하는 데 사용되는 간결한 형식입니다.

JWT에는 사용자 식별자, 토큰 발급자, 만료 시간 또는 승인된 역할과 같은 신원 및 권한에 대한 정보가 포함될 수 있습니다. 토큰에는 디지털 서명이 되어 있어 수신 시스템이 토큰의 내용이 변경되지 않았는지 확인할 수 있습니다.

JWT는 웹 애플리케이션, API 및 신원 확인 시스템에서 일반적으로 사용됩니다.

JWT는 자동으로 암호화되지 않습니다. 서명된 JWT는 포함된 정보의 무결성을 보호할 수 있지만, 별도의 암호화가 적용되지 않으면 그 내용을 여전히 읽을 수 있습니다.

리프레시 토큰이란 무엇인가요?

리프레시 토큰은 사용자가 다시 인증할 필요 없이 새 액세스 토큰을 얻는 데 사용되는 자격 증명입니다.

액세스 토큰은 의도적으로 수명이 짧게 설정되는 경우가 많습니다. 액세스 토큰이 만료되면 애플리케이션은 유효한 갱신 토큰을 권한 부여 시스템에 제시하여 교체를 요청할 수 있습니다.

리프레시 토큰은 일반적으로 액세스 토큰보다 수명이 길기 때문에 특히 보호하는 것이 중요합니다. 공격자가 유효한 갱신 토큰을 탈취하면 해당 토큰이 만료되거나 취소될 때까지 계속해서 새로운 액세스 토큰을 생성할 수 있습니다.

토큰과 비밀번호의 차이점은 무엇인가요?

비밀번호와 토큰은 모두 인증에 사용될 수 있지만, 목적은 서로 다릅니다.

비밀번호는 일반적으로 사용자가 알고 있으며 사용자의 신원을 증명하기 위해 제시하는 비밀 정보입니다. 토큰은 시스템에서 인증 후 생성되거나 발급되는 경우가 많으며, 인증된 세션, 신원 또는 특정 권한 집합을 나타낼 수 있습니다.

토큰은 자동으로 만료되거나 특정 리소스 및 작업으로 사용이 제한될 수도 있습니다.

토큰 기반 시스템은 암호를 반복해서 전송해야 하는 필요성을 줄여주지만 보안 위험을 제거하지는 못해요. 탈취된 토큰을 사용하면 공격자는 사용자의 비밀번호를 얻지 않고도 리소스에 접근할 수 있습니다.

토큰과 API 키의 차이점은 무엇인가요?

API 키와 토큰은 모두 API 접근을 제어하는 데 일반적으로 사용되지만, 반드시 동일한 것은 아닙니다.

API 키는 일반적으로 애플리케이션이나 클라이언트를 식별하거나 인증하는 데 사용되는 비교적 고정적인 자격 증명입니다. 액세스 토큰은 일반적으로 인증 또는 권한 부여 프로세스 후에 발급되며 특정 권한을 포함하거나 나타낼 수 있습니다.

토큰은 종종 만료되도록 설계되며 특정 리소스 또는 작업에 한정될 수 있습니다. API 키는 수동으로 갱신하거나 취소할 때까지 유효한 상태로 유지될 수 있습니다.

정확한 동작 방식은 애플리케이션이 인증 및 권한 부여 시스템을 어떻게 구현하는지에 따라 달라집니다.

보안 토큰하고 토큰화는 어떻게 다른가요?

보안 토큰과 토큰화는 다른 사이버 보안 개념이에요.

보안 토큰은 신원을 인증하거나 세션을 유지하거나 리소스에 대한 액세스를 승인하는 데 사용되는 자격 증명이에요.

토큰화는 민감한 정보를 토큰이라고 하는 민감하지 않은 대체 정보로 바꾸는 데이터 보호 기술입니다. 예를 들어, 결제 시스템은 신용 카드 번호를 토큰으로 대체하여 원래 번호가 시스템 전체에 노출될 필요가 없도록 할 수 있습니다.

토큰화에서 토큰은 민감한 데이터를 나타냅니다. 토큰 기반 인증에서 토큰은 신원, 권한 또는 접근 권한을 나타내거나 증명합니다. 

토큰 도용이란 무엇인가요?

토큰 도용은 공격자가 합법적인 인증 토큰, 접근 토큰 또는 세션 토큰을 획득하여 권한 없이 사용하는 경우 발생합니다.

토큰은 이미 인증된 신원을 나타낼 수 있기 때문에, 토큰을 탈취하면 공격자가 일반적인 로그인 절차를 우회할 수 있습니다. 어떤 경우에는 공격자가 피해자의 비밀번호가 필요하지 않다는 것을 의미합니다.

공격자는 다음과 같은 방법을 통해 토큰을 획득할 수 있습니다.

• 피싱
• 세션 하이재킹
• 크로스 사이트 스크립팅 취약점
• 손상된 애플리케이션 또는 endpoints
• 노출된 로그 또는 저장소
• 멀웨어
• 안전하지 않은 토큰 저장소
• 중간자 공격
• Stolen browser sessions

공격자는 일단 시스템에 침투하면 탈취한 토큰을 사용하여 해당 사용자가 접근할 수 있는 애플리케이션, API, 클라우드 리소스 또는 기타 시스템에 접근할 수 있습니다.

조직은 인증 및 액세스 토큰을 어떻게 안전하게 보호할 수 있을까요?

조직은 토큰을 민감한 자격 증명으로 취급해야 합니다.

토큰 보안 관행에는 다음이 포함돼.

• 적절한 경우 짧은 유통기한을 사용하십시오.
• 최소 권한 원칙을 사용하여 토큰 권한을 제한합니다.
• 토큰을 안전하게 저장하세요
• 민감한 통신을 암호화하세요
• URL, 로그 또는 소스 코드에 토큰을 노출하지 마십시오.
• 필요에 따라 자격 증명을 갱신하고 취소하십시오.
• 비정상적인 토큰 활동을 모니터링하세요.
• 다중 요소 인증을 사용하세요
• 토큰 서명, 발급자, 대상 및 만료일을 검증합니다.
• 애플리케이션과 워크로드 간의 접근을 제한합니다.

조직은 자격 증명이 언젠가는 유출될 수 있다는 점을 염두에 두어야 합니다. 유효한 토큰이 접근할 수 있는 범위를 제한하면 자격 증명 도난으로 인한 잠재적 피해를 줄이는 데 도움이 됩니다.

토큰이 제로 트러스트 보안하고 어떤 관련이 있어요?

토큰은 시스템이 접근 결정을 내릴 때 사용하는 ID 및 승인 정보를 제공하여 제로 트러스트를 구현하는 데 도움이 될 수 있어요.

However, Zero Trust does not assume that possession of a valid token makes every request trustworthy.

공격자는 정당한 사용자의 토큰을 탈취하거나 유효한 자격 증명을 사용하여 애플리케이션을 손상시킬 수 있습니다. 따라서 보안 통제는 액세스를 지속적으로 평가하고 사용자, 애플리케이션, 워크로드를 필요한 리소스로만 제한해야 해요.

ID 제어와 최소 권한 접근 및 세그멘테이션을 결합하면 신뢰할 수 있는 자격 증명이나 토큰이 도용될 경우 발생할 수 있는 피해를 제한하는 데 도움이 돼요.

토큰과 측면 이동

탈취된 토큰은 공격자가 처음 침입한 시스템을 넘어 다른 시스템으로 이동하는 데 도움이 될 수 있습니다.

공격자가 액세스 토큰이나 세션 토큰을 탈취하면 정당한 사용자 계정과 관련된 일부 권한을 상속받을 수 있습니다. 그러면 추가 애플리케이션, API, 워크로드 또는 클라우드 리소스에 액세스하려고 시도할 수 있습니다.

따라서 특정 ID에 과도한 권한이 부여되었거나 네트워크에서 리소스 간 무제한 통신이 허용되는 경우 토큰 도용이 특히 위험해집니다.

조직은 강력한 ID 보안과 세분화 및 최소 권한 액세스를 결합하여 이러한 위험을 줄일 수 있어요. 공격자가 유효한 자격 증명을 획득하더라도 통신 경로를 제한하면 환경 내에서 측면 이동을 더욱 어렵게 만들 수 있습니다.

Illumio가 손상된 토큰의 영향을 줄이는 데 어떻게 도움이 되나요?

토큰 기반 인증은 조직이 접근을 제어하는 데 도움이 되지만, 유효한 자격 증명도 여전히 도용되거나 악용될 수 있습니다.

Illumio는 조직이 통신할 수 있는 워크로드, 애플리케이션, 리소스를 제어할 수 있도록 도와서 또 다른 보호 계층을 추가해요.

Illumio는 하이브리드 및 멀티 클라우드 환경 전반의 커뮤니케이션에 대한 가시성을 제공하여 보안팀이 애플리케이션 종속성을 이해하고 불필요한 연결을 식별하도록 도와줘요.

그러면 Illumio Segmentation이 리소스 간의 최소 권한 통신을 강제할 수 있어요. 공격자가 도난당한 토큰이나 손상된 ID를 사용하여 워크로드에 접근하는 경우, 세그멘테이션은 다른 시스템에 도달할 수 있는 경로를 제한하는 데 도움이 돼요.

이 접근 방식은 조직이 ID 기반 보안 제어를 우회한 경우에도 보안 침해를 억제하고 측면 이동을 제한하는 데 도움이 돼요.

도난당한 토큰은 더 큰 침해로 이어지지 않아야 해요

아무리 강력한 인증이라도 토큰 도난이나 자격 증명 유출의 위험을 완전히 없앨 수는 없습니다. 일단 공격자가 시스템에 접근 권한을 얻으면, 시스템 간 이동을 막는 것이 매우 중요해집니다.

Illumio 세그멘테이션은 조직이 최소 권한 통신을 적용하고, 불필요한 연결을 제한하고, 공격자가 중요한 애플리케이션과 데이터에 접근하기 전에 보안 침해를 방지하는 데 도움이 돼요.

Illumio Segmentation 살펴보기 →

자주 묻는 질문

사이버 보안에서 토큰이란 무엇인가요?

토큰은 신원 확인, 인증된 세션 유지 또는 시스템이나 리소스에 대한 접근 권한 부여에 사용되는 디지털 또는 물리적 자격 증명입니다.

인증 토큰이란 무엇인가요?

인증 토큰은 사용자, 장치 또는 애플리케이션이 자신이 주장하는 바를 실제로 나타내는지 확인하는 데 도움이 됩니다. 인증 토큰에는 소프트웨어 생성 코드, 디지털 자격 증명, 물리적 보안 장치가 포함될 수 있어요.

액세스 토큰이란 무엇인가요?

액세스 토큰은 보호된 리소스에 접근할 수 있는 권한을 나타내는 자격 증명입니다. 애플리케이션과 API는 요청된 작업을 허용하기 전에 액세스 토큰의 유효성을 검사할 수 있습니다.

토큰이 비밀번호보다 더 안전한가요?

토큰은 임시적이고, 사용 범위가 제한적이며, 폐기될 수 있기 때문에 비밀번호를 반복적으로 사용하는 것과 관련된 위험을 일부 줄일 수 있습니다. 하지만 토큰은 여전히 민감한 자격 증명이며, 도난당할 경우 무단 접근을 허용할 수 있습니다.

해커가 인증 토큰을 훔칠 수 있나요?

맞아요.공격자는 피싱, 멀웨어, 세션 하이재킹, 애플리케이션 취약점 또는 안전하지 않은 자격 증명 저장 같은 기술을 통해 토큰을 훔칠 수 있어요. 탈취된 유효한 토큰은 공격자가 인증된 사용자 또는 애플리케이션을 사칭하는 데 사용될 수 있습니다.

보안 토큰이 만료돼요?

많은 디지털 보안 토큰에는 만료 시간이 있어요. 수명이 짧은 토큰은 도난당한 토큰이 악용될 수 있는 시간을 줄일 수 있습니다. 하지만 만료 동작은 토큰 및 인증 시스템에 따라 다릅니다.

베어러 토큰이란 무엇인가요?

베어러 토큰은 일반적으로 해당 토큰을 소유하고 제시하는 사람에게 접근 권한을 부여하는 액세스 토큰의 일종입니다. 소유만으로도 접근 권한이 부여될 수 있으므로, 베어러 토큰은 무단 공개로부터 보호되어야 합니다.

토큰 기반 인증이란 무엇인가요?

토큰 기반 인증은 시스템이 사용자의 신원을 확인한 후 토큰을 발급하는 인증 방식입니다. 그러면 사용자의 기본 자격 증명을 반복적으로 전송하는 대신 후속 요청에서 토큰을 제시할 수 있습니다.

토큰과 토큰화의 차이점은 무엇인가요?

보안 토큰은 인증, 승인, 액세스를 의미해요. 토큰화는 민감한 정보를 민감하지 않은 토큰으로 대체하여 원본 데이터의 노출을 줄이는 데이터 보호 기술입니다.

‍