OAuth 2.0은 서비스 사용자가 애플리케이션에게 모든 권한을 넘기지 않고 사용자 대신 서비스를 이용할 수 있게 해주는 HTTP 기반의 보안 프로토콜이다. OAuth는 페이스북과 구글 뿐만 아니라 스타트업과 클라우드 서비스에 이르기까지 모든 곳에서 사용된다. 이 책을 통해서 OAuth 2.0의 모든 것 즉, OAuth 2.0의 개요과 구성 요소, 구성 요소 간의 상호 작용 그리고 구현 방법에 대해서 배우게 될 것이다.

내용이 비어 있는 페이지보다 어려운 것은 없다. 그것은 당신을 빤히 쳐다보며 조롱한다. 여러분은 무엇을 하고 싶은지 알고 있으며, 해내고 싶은 명확하고 멋진 그림을 갖고 있다. 상사나 고객이 여러분이 만들어낸 기쁨으로 황홀하게 웃음짓는 모습도 그릴 수 있을 것이다. 하지만 문제는 여러분 앞에 빈 페이지가 놓여 있다는 것이다.
그래서 도구에 손을 뻗게 된다. 이 책을 읽고 있는 사람은 개발자나 ID 관리 전문가일 가능성이 크다. 어느 쪽이든 무엇보다 보안이 중요하고 구축하고자 하는 것을 보호하길 원할 것이다.
OAuth에 대해 들어본 적이 있을 것이다. OAuth가 리소스, 특히, API를 보호하는 것과 관련이 있다는 것도 알고 있을 것이다. OAuth는 매우 인기가 많고 무엇이든 할 수 있다. 하지만 무엇이든 할 수 있는 것의 문제는 뭔가를 하기 어렵게 만든다는 것이다. 그런 것은 또 하나의 빈 페이지라고 할 수 있다.
저스틴과 안토니오가 쓴 이 책을 읽어보기 바란다. 무엇이든 할 수 있는 일을 할 때 그것이 정체되는 것을 막는 가장 쉬운 방법은 그냥 뭔가를 시작하는 것이다. 이 책은 OAuth가 무엇인지를 설명하고 있을 뿐만 아니라 OAuth 프로세스 전반에 걸쳐 무엇을 해야 하는지 알려주고 있다. 결국 OAuth를 도구로서 깊이 이해하게 되고 더 이상 여러분 앞에 빈 페이지가 놓여 있지 않게 될 것이다. 즉, 앞으로 멋진 것을 전달할 준비가 돼 있을 것이다.
OAuth는 매우 강력한 도구고, 이 강력함은 유연함에서 비롯된다. 유연함은 종종 자신이 하고 싶은 것을 할 수 있는 능력뿐만 아니라 안전하지 않은 방식으로 뭔가를 수행할 수 있는 능력을 의미한다. OAuth는 중요한 데이터에 접근할 수 있는 API에 대한 접근을 통제하기 때문에, 비정상적인 패턴을 피하고 모범적인 사례를 사용해 안전한 방법으로 OAuth를 이용하는 것이 중요하다. 다르게 말하면, 어떤 식으로든 어떤 것을 할 수 있는 유연함을 갖고 있다고 해서 반드시 그렇게 해야 하는 것은 아니다.
OAuth를 사용해야 하는 또 한 가지 이유는 API 호출들을 조정하고 그 결과 어떤 멋진 것을 할 수 있기 때문이다. 실현하고자 하는 멋진 생각을 페이지에 가득 채울 수 있다. OAuth는 그 길로 가기 위한 방법을 좀 더 안전하게 인도해준다.
감사하게도, 저자들은 해야 할 것과 하지 말아야 할 것에 대한 실용적인 가이드를 제공해주고 있다. 그들은 여러분이 “그냥 이것을 끝내고 싶다”와 “이것이 안전한지 확인하고 싶다”라는 생각을 모두 갖고 있다는 것을 알고 있다.
여러분의 머릿속과 여러분 고객의 손에 의해 가득 채워진 페이지를 위한 작업은 결국 그렇게 힘들지 않다는 것을 깨닫게 될 것이다.

█ OAuth 2 프로토콜과 설계
█ OAuth 2를 이용한 인가
█ OpenID 커넥트와 UMA(User-Managed Access)
█ 구현에 따른 보안 위험
█ JOSE, 인트로스펙션, 폐기, 등록
█ REST API 보호화 접근

1장에서는 OAuth 2.0 프로토콜의 개요와 OAuth 이전의 API 보안과 OAuth가 만들어진 동기에 대해 설명한다.
2장에서는 OAuth 2.0의 핵심적인 그랜트 타입이면서 가장 널리 사용되는 인가 코드 그랜트 타입에 대해 자세히 다룬다.
3장부터 5장까지는 간단하지만 모든 기능을 갖춘 OAuth 2.0 클라이언트와 보호된 리소스 그리고 인가 서버를 구축하는 방법을 설명한다.
6장에서는 인가 코드가 아닌 다른 유형의 그랜트 타입과 네이티브 애플리케이션에 대해 살펴본다.
7장부터 9장까지는 OAuth 2.0 클라이언트와 보호된 리소스 그리고 인가 서버의 일반적인 보안 취약점과 그것을 피하는 방법에 대해 논의한다.
10장에서는 OAuth 2.0 Bearer 토큰과 인가 코드에 대한 공격과 보안 취약점 그리고 방지 방법에 대해 논의한다.
11장에서는 인코딩에 사용되는 JWT(JSON Web Token), JOSE 메커니즘, 토큰 인트로스펙션, 토큰 폐기에 대해 살펴본다.
12장에서는 동적 클라이언트 등록과 그것이 OAuth 2.0 생태계에 어떻게 영향을 미치는지에 대해 살펴본다.
13장에서는 OAuth 2.0이 인증 프로토콜이 아닌 이유와 OpenID 커넥트를 이용해 OAuth 기반으로 인증 프로토콜을 구축하는 방법에 대해 실펴본다.
14장에서는 OAuth 2.0 기반 위에 구축되며 사용자 간 공유를 지원하는 UMA(User Managed Access) 프로토, OpenID 커넥터, OAuth 2.0의 HEART, iGov 프로파일, 그리고 해당 프로토콜들이 특정 산업에 어떻게 적용되는지에 대해 살펴본다.
15장에서는 OAuth 2.0의 일반적인 Bearer 토큰이 아닌 PoP(Proof of Possession) 토큰과 TLS 토큰이 OAuth 2.0과 연결돼 어떻게 동작하는지에 대해 알아본다.
16장에서는 모든 것을 정리하고 이 책의 내용을 라이브러리와 더 확장된 OAuth 2.0 커뮤니티에 어떻게 적용하는지에 대해 논의한다.

현재 OAuth 2.0은 웹상에서 사용되는 최고의 인가 프로토콜이며, 모든 사람이 사용하고 있다. 규모가 큰 인터넷 기업에서부터 작은 스타트업이나 대기업에 이르기까지 많은 기업과 다양한 분야에서 사용되고 있다. OAuth 2.0을 기반으로 구축된 확장 기능과 프로파일 그리고 전체 프로토콜의 생태계가 생겨났으며, 사람들은 OAuth를 이용한 좀 더 새롭고 흥미로운 것을 모색하고 있다. 이 책의 목적은 OAuth 2.0이 무엇이고, 왜 그렇게 동작하는지를 이해시키는 것뿐만 아니라 문제를 해결하고 자체 시스템을 구축하기 위해 OAuth를 가장 잘 활용할 수 있는 방법을 제시하는 것이다.

저스틴 리처(Justin Richer)

인터넷 보안과 식별, 협업, 사용성, 게임을 포함한 다양한 영역에서 17년 이상의 경력을 가진 시스템 아키텍트이자 소프트웨어 엔지니어, 표준 편집자이면서 서비스 설계자다. IETF(Internet Engineering Task Force)와 OIDF(OpenID Foundation)에서 활발히 활동하고 있으며, OAuth 2.0과 OpenID 커넥트 1.0을 포함한 기본적인 보안 프로토콜(RFC7591 & RFC7592)에 직접적으로 기여해왔고 OAuth 2.0 동적 클라이언트 등록()과 토큰 인트로스펙션(RFC7662)을 포함한 여러 개의 확장 스펙을 작성해왔다. Vectors of Trust와 NIST의 디지털 식별 가이드라인 제3판(Special Publication 800-63)에 대한 선구적인 작업은 예측할 수 없는 환경에서 신뢰할 수 있는 신원이 의미하는 것이 무엇인지에 대한 논의를 이끌어냈다. 엔터프라이즈에 초점을 맞춰 OAuth 2.0과 OpenID 커넥트를 구현한 MITREid Connect를 처음으로 오픈소스 형태로 만들어 유지 보수하고 있으며, MITRE와 MIT를 포함한 많은 단체에서 시스템 배포를 주도해왔다. 재능이 많으며 자신감 넘치는 발표자로서 기술적인 능력이 있는 청중을 대상으로 한 세계적인 컨퍼런스의 위원이나 기조 연설자로서 인기가 많다. 오픈소스와 오픈 표준의 열렬한 지지자며, 아직 솔루션이 만들어지지 않은 상태라고 하더라도 결국 올바른 솔루션이 있으면 어려운 문제를 해결할 수 있다고 믿는다.

안토니오 산소(Antonio Sanso)

스위스에 있는 어도비 연구소의 선임 소프트웨어 엔지니어로서 Adobe Experience Manager 보안 팀에 속해 있다. 그 전에는 아일랜드에 있는 IBM 더블린 소프트웨어 연구소(IBM Dublin Software Lab)에서 소프트웨어 엔지니어로 일했다. OpenSSL, 구글 크롬, 애플 사파리와 같은 유명한 소프트웨어의 보안 취약점들을 발견했으며, 구글(Google), 페이스북(Facebook), 마이크로소프트(Microsoft), 페이팔(Paypal), 깃허브(Github)의 명예의 전당에 올라 있다. 열렬한 오픈소스 기여자며 Apache Oltu의 부사장(의장) 이자 Apache Sling의 PMC 멤버다. 그는 웹 애플리케이션 보안에서부터 암호화에 이르기까지 다양한 업무를 하고 있다. 또한 12개 이상의 컴퓨터 보안 특허와 암호화 학술 논문 저자기도 하다. 그는 컴퓨터 공학 석사 학위를 갖고 있다.

OAuth는 현재 웹 애플리케이션이나 서비스뿐만 아니라 네이티브 애플리케이션에 이르기까지 광범위하게 사용되고 있다. 사용하기 쉽고, 서비스 간의 연동과 구현을 간단히 해결할 수 있게 해주기 때문일 것이다. 이 책은 OAuth가 무엇인지를 설명할 뿐만 아니라 OAuth의 구현 방법과 구현에 있어서의 고려사항 등 OAuth와 관련된 전반적인 내용을 모두 설명하고 가이드하고 있다. 특히, OAuth 구현에 있어서 중요하게 고려해야 하는 보안적인 부분(OAuth 구현에 있어서 발생할 수 있는 일반적인 보안 취약점과 그것을 피하는 방법)에 많은 지면을 할당해 OAuth 구현에 있어서의 잠재적인 위협을 자세히 설명하고 실용적인 가이드를 제시하고 있다는 것이 특징이라고 할 수 있다.
그리고 토큰 및 동적 클라이언트 등록과 좀 더 고급 주제에 대해서도 설명하고 있다. 즉, OpenID 커네트와 JOSE/JWT, JOSE 메커니즘, 토큰 인트로스펙션, 토큰 폐기와 같은 많은 관련 기술들도 함께 설명하고 있다. 또한, OAuth 2.0이 인증 프로토콜이 아닌 이유와 OpenID 커넥트를 이용한 OAuth 기반 인증 프로토콜을 구축 방법에 대해서도 살펴보며, 사용자간 공유를 지원하는 UMA(User Managed Access) 프로토콜과, PoP(Proof of Possession) 토큰, HEART, iGov 프로파일 대해서도 살펴본다. 한마디로 OAuth 뿐만 아니라 OAuth와 관련된 모든 것을 다루고 있다고 보아도 무리는 아닐 것이다.
OAuth를 단순히 강력하고 사용하기 편한 도구로만 바라보지 말고 하나의 서비스를 구성하는 중요한 구성 요소 중 하나라고 생각한다면 그 바라보는 관점이 달라지게 돼 OAuth의 유연함과 확장성을 제대로 이용할 수 있는 계기가 될 것이다. 그 결과 OAuth가 여러분의 서비스 내부에 더 깊숙하게 녹아 들어가게 되는 계기가 되길 희망한다.

윤우빈

기존의 IT 기술과 새로 만들어지고 있는 최신 기술을 보안이라는 관점에서 이해하고 새로운 기술, 비즈니스 영역의 새로운 보안 위협과 그에 대한 대응 기술에 대해서 고민하고 있으며, 에이콘출판사를 통해서 다양한 보안 관련 지식을 공유하고자 노력하고 있다. 지금도 여전히 새로운 분야에 대한 보안 기술 연구와 다양한 보안 기술 개발을 위해서 진땀을 흘리고 있다