🪪 전자금융 보안 모의해킹 · 세션정보 재사용 제한

어디가 달라졌나

세션 쿠키에서 무상태 JWT 로 옮겨 가면서 새 문제가 생겼습니다 — JWT 는 서버가 취소할 수 없습니다. 로그아웃해도 만료 전까지 유효하고, 권한을 회수해도 토큰 안의 roles 는 그대로입니다. “세션 무효화”라는 평가항목이 그냥 사라진 것처럼 보이지만, 실제로는 더 어려워진 것입니다.

현대 스택에서의 조치

• access token 은 짧게(5~15분), 취소는 refresh 폐기 + Redis deny list(jti 기준, 남은 수명만큼만 보관)로 구현합니다.
• 중요 변경(비밀번호 변경·권한 회수·기기 해제) 시 사용자 단위 토큰 무효화 시각을 저장하고, 그보다 오래된 iat 토큰을 거부합니다.
• SPA 는 토큰을 localStorage 에 두지 말고 HttpOnly·Secure·SameSite 쿠키 로. XSS 실습을 같은 출처에서 제공하는 서비스라면 더욱 그렇습니다.

// 사용자 단위 일괄 무효화 — deny list 보다 가볍다
long cutoff = userRepo.getTokensInvalidAfter(userId);   // 비밀번호 변경 시각 등
if (claims.getIssuedAt().toEpochMilli() < cutoff)
    throw new SecurityException("session invalidated");