PKCE: 공개 클라이언트 보호

PKCE가 없으면 모바일 애플리케이션은 인가 코드 가로채기 공격에 취약합니다. 인가 서버가 인가 코드를 앱에 등록된 사용자 지정 URI 스킴(예: myapp://callback)으로 리디렉션할 때, 동일한 장치에서 같은 URI 스킴을 등록한 악성 앱이 리디렉션을 가로채 코드를 탈취할 수 있습니다.

공격 방식은 다음과 같습니다. 악성 앱이 정상 앱과 동일한 사용자 지정 URI 스킴을 등록합니다. 인가 서버가 코드를 myapp://callback으로 리디렉션하면 OS는 두 앱을 모두 처리기로 표시할 수 있습니다. 사용자가 악성 앱을 선택하거나 OS가 악성 앱을 기본 처리기로 지정하면 공격자는 인가 코드를 받고, 클라이언트 비밀 값을 몰라도 이를 토큰으로 교환할 수 있습니다.

PKCE(RFC 7636)는 인가 코드 흐름에 동적으로 생성되는 비밀 값을 추가합니다. 흐름을 시작하기 전에 클라이언트는 코드 검증자라고 하는 암호학적으로 무작위인 43~128자의 문자열을 생성합니다. 이 문자열은 각 인가 요청마다 고유하며 토큰 교환 단계 전까지 전송되지 않습니다.

클라이언트는 검증자로부터 코드 챌린지를 계산합니다. code_challenge = BASE64URL(SHA256(code_verifier)). RFC 7636에서는 SHA256을 필수 방식으로 지정합니다("plain" 방식은 검증자를 직접 전송하므로 권장되지 않습니다). 코드 챌린지는 검증자를 단방향으로 변환한 값이므로, 챌린지를 알아도 검증자를 알아낼 수 없습니다.

인가 요청에는 두 개의 추가 매개변수가 포함됩니다. "code_challenge=BASE64URL(SHA256(verifier))&code_challenge_method=S256". 인가 서버는 발급된 인가 코드와 연결된 코드 챌린지를 저장합니다. 이 단계에서는 가로챌 수 있는 비밀 값이 서버로 전송되지 않습니다.

토큰 교환 중(토큰 엔드포인트로 POST) 클라이언트는 인가 코드와 함께 "code_verifier=ORIGINAL_RANDOM_STRING"을 포함합니다. 인가 서버는 BASE64URL(SHA256(code_verifier))을 계산하고 저장된 code_challenge와 일치하는지 확인합니다. 검증자를 생성한 정상 클라이언트만 이 검사를 통과할 수 있습니다.

공격자가 인가 코드를 가로채도 받는 것은 코드와 공개된 코드 챌린지뿐입니다. 코드를 토큰으로 교환하려면 코드 검증자를 제공해야 합니다. 검증자는 정상 클라이언트가 생성하며 토큰 교환 전까지 전송되지 않고, 토큰 교환도 안전하게 이루어지므로 공격자는 검증자를 계산하거나 가져올 수 없습니다.

PKCE는 리디렉션 과정에서 공격자가 유효한 코드를 탈취한 코드로 바꾸는 권한 부여 코드 주입 공격도 방지합니다. 탈취한 코드의 챌린지는 피해자 클라이언트가 제출할 검증자와 일치하지 않으므로 토큰 교환이 실패합니다. PKCE는 여러 공격 벡터를 동시에 방어하는 심층 방어를 제공합니다.

RFC 7636은 처음에 클라이언트 비밀이 없는 공개 클라이언트를 위한 해결책으로 설명되었지만, OAuth 보안 BCP와 OAuth 2.1에서는 클라이언트 비밀이 있는 기밀 클라이언트를 포함한 모든 클라이언트에 PKCE를 요구합니다. PKCE는 클라이언트 인증과 독립적으로 보호 기능을 제공하므로 모든 클라이언트에 유익합니다.

OAuth 2.1(draft-ietf-oauth-v2-1)은 OAuth 2.0 보안 BCP의 보안 모범 사례를 하나의 문서로 통합합니다. OAuth 2.1은 모든 권한 부여 코드 흐름에 PKCE를 의무화하고, 암시적 흐름을 폐기하며, 리프레시 토큰 순환을 요구합니다. PKCE는 사실상 새로운 OAuth 2.0 구현에 필요한 기준선입니다.

PKCE를 올바르게 구현하려면 다음이 필요합니다. 검증자에 암호학적으로 안전한 난수 생성기를 사용하고(최소 32개의 난수 바이트를 생성한 후 base64url로 인코딩), 검증자를 클라이언트에 안전하게 저장하며(URL이나 로그에 저장하지 않음), S256 방식을 사용하고(plain 방식은 사용하지 않음), 토큰 교환 후 검증자를 폐기해야 합니다. 대부분의 최신 OAuth 라이브러리는 PKCE를 자동으로 처리합니다.

PKCE(RFC 7636)는 적법한 클라이언트만 알고 있는 동적으로 생성된 코드 검증자에 각 코드를 결합하여 권한 부여 코드 가로채기를 방지합니다. 검증자를 해시하여 코드 챌린지를 생성하고(공개적으로 전송), 토큰 교환에는 원래 검증자가 필요합니다. PKCE는 가로채기와 주입 공격을 모두 방지합니다. OAuth 2.1에서는 모든 권한 부여 코드 흐름에 PKCE를 요구합니다.