인증&인가 - dev-graft/syuck-syuck-docs GitHub Wiki

• RSA256 알고리즘으로 생성된 키쌍을 서버와 교환하는 작업을 뜻함
• Client와 Server가 정보를 주고 받는 과정에서 중요 정보가 노출되는 것을 차단하는 것을 목표함
• 해당 과정은 서버의 공개키(이하 S.비밀키, S.공개키)를 전달받고, S.공개키를 이용하여 전달할 데이터를 암호화하는 것을 목표함

• Client에서 RSA256 알고리즘 랜덤 값을 기반으로 비밀키와 공개키를 생성(이하 C.비밀키, C.공개키)

• Client는 서버에게 S.공개키를 요청하며, C.공개키를 전달

• Server는 RSA256 랜덤 키 생성 및 S.비밀키를 세션에 저장 후 Client에게 전달받은 C.공개키로 S.공개키를 암호화 (S.공개키를 반환과정에 노출되는 것을 방지)

• Client는 전달 받은 값을 C.비밀키로 복호화하여 S.공개키를 흭득

• Client는 서버에 암호화하여 전달할 데이터를 S.공개키로 암호화 후 전달

• Server는 전달받은 데이터를 복호화 후 세션 만료. (시간제한을 두는 방법을 추가했을 때 어떠한 이점이 있을 지 검토 중)

기존 과정은 클라이언트가 공개키를 발행 후 서버에 전달하고, 서버는 해당 공개키를 통해 자신의 공개키를 암호화 하는 등 서버와 클라이언트 간의 정보를 최대한 감추고자하였다.
복잡한 과정의 진행방법을 생각했던 이유는 전송과정에서 제3자가 감청하는 것을 제한하기 위해서였다.
하지만 https와 같은 프로토콜에서 요청을 진행할 경우 발급된 인증서를 통해 암호화가 진행되므로, 이미 전송과정에서 감청은 불가능에 가까워, 기본사항만 적용하도록 하였다.