HS256과 RS256: 대칭 및 비대칭 JWT

JWT 서명에는 대칭(HMAC) 또는 비대칭(RSA, ECDSA) 알고리즘을 사용합니다. HS256 = HMAC-SHA256, RS256 = RSA-PKCS1v1.5-SHA256, ES256 = ECDSA-P-256-SHA256입니다. 선택에 따라 키 배포 방식과 신뢰 모델이 달라집니다.

HS256은 서명과 검증에 하나의 공유 비밀 키를 사용합니다. 발급자와 모든 검증자가 동일한 비밀을 보유해야 합니다. 구현은 간단하지만 모든 검증자에게 키를 안전하게 배포해야 합니다.

발급자와 검증자가 동일한 서비스일 때 HS256이 적합합니다(예: 모놀리식 API가 자체 토큰에 서명하고 검증하는 경우). 여러 독립 서비스가 토큰을 검증해야 한다면 HS256을 사용하지 마십시오. 모든 서비스가 비밀을 보유해야 하기 때문입니다.

RS256은 개인 키로 서명하고 공개 키로 검증합니다. 인증 서버만 개인 키를 보유합니다. 모든 리소스 서버는 JWKS 엔드포인트에서 공개 키를 가져와 로컬에서 검증하므로 비밀을 공유할 필요가 없습니다.

RS256은 마이크로서비스 아키텍처에 적합합니다. IDP가 토큰에 서명하고 각 하위 서비스가 요청마다 IDP에 연락하지 않고 공개 키로 검증합니다. 키를 배포할 때 발생하는 위험 없이 수평으로 확장할 수 있습니다.

ES256은 P-256을 기반으로 ECDSA를 사용합니다. 서명 크기는 2048비트 키를 사용하는 RS256의 256바이트에 비해 64바이트입니다. 검증 속도는 RS256보다 약 10배 빠릅니다. 대역폭이나 검증 속도가 중요한 경우(모바일 API, IoT)에 선호됩니다.

RS256/ES256의 경우 JWKS에 새 키(새 kid)를 게시하고, 새 키로 새 토큰에 서명하고, 기존 토큰이 만료될 때까지 유예 기간을 둔 다음 기존 키를 제거하여 키를 교체합니다. HMAC 키 교체에는 새 비밀키를 다시 배포해야 합니다.

HS256 검증: 약 1 µs입니다. RS256 검증: 약 100 µs(2048비트)입니다. ES256 검증: 약 50 µs(P-256)입니다. HS256이 가장 빠르지만 비밀키를 공유해야 합니다. ES256은 분산 시스템에서 보안과 성능의 균형이 가장 좋습니다.

치명적인 취약점이 있습니다. 검증기가 alg 헤더를 무조건 신뢰하면 공격자가 alg를 RS256에서 HS256으로 바꾸고, 서버의 공개 키(공개되어 있음)를 HMAC 비밀키로 사용해 토큰에 서명할 수 있습니다. 해결 방법은 alg 헤더를 절대 신뢰하지 않는 것입니다.

결정 기준: 단일 서비스 → HS256입니다. 다중 서비스/마이크로서비스 → RS256 또는 ES256입니다. 대규모 모바일 트래픽 → ES256입니다. 확실하지 않다면 ES256(P-256) 또는 2048비트 이상의 키를 사용하는 RS256을 사용하십시오. 성능이 중요한 경로에서는 RS512를 절대 사용하지 마십시오.

PyJWT(파이썬), jose(Node.js) 또는 auth0/java-jwt를 사용하십시오. 검증 호출에서 예상 알고리즘을 항상 고정하십시오: jwt.decode(token, secret, algorithms=["HS256"]). algorithms=None을 전달하거나 매개변수를 생략하지 마십시오.

마이크로서비스 아키텍처에서 HS256보다 RS256을 선호하는 이유는 무엇입니까?

HS256은 대칭형(공유 비밀키)이고, RS256/ES256은 비대칭형(개인 키로 서명하고 공개 키로 검증)입니다. 다자간 시스템에는 비대칭 알고리즘을 사용하십시오. 다음 주제: JWT 취약점 악용입니다.