security
CHAPTER 45 / 84
읽기 약 2분
FUNCTION
JWT 공격 & 방어
핵심 개념
None 알고리즘 공격, 알고리즘 혼동(RS256→HS256), JWT 시크릿 브루트포스를 실습합니다. 강력한 시크릿, alg 화이트리스트, 토큰 만료·무효화로 JWT를 안전하게 구현합니다.
코드 분석
STEP·41 / SECURITY / CHAPTER 41 — JWT 공격 & 방어# JWT 보안 구현// ❌ 취약: alg 검증 없음jwt.verify(token, secret) // alg: none 공격 가능 // ✅ 알고리즘 명시 강제jwt.verify(token, secret, { algorithms: ['HS256'] }) // ✅ 강력한 시크릿 (32바이트 이상)const secret = crypto.randomBytes(64).toString('hex') // ✅ 짧은 만료 + Redis 블랙리스트const token = jwt.sign(payload, secret, { expiresIn: '15m' })// 로그아웃 시 Redis에 토큰 저장 → 검증 시 차단AI 프롬프트
🤖 AI에게 잘 물어보는 법 — 모델·전략별 프롬프트
Claude
무료: Sonnet 4.6 / Pro $20/mo: Opus 4.6
이 'JWT 공격 & 방어' 코드에서 OWASP Top 10 관점의 보안 취약점을 찾고 안전한 코드로 수정해줘.
ChatGPT
무료: GPT-5.5 / Plus $20/mo: GPT-5.5 Pro
'JWT 공격 & 방어' 공격 방어 코드를 단계별로 구현해줘. 실전 페이로드 예시도 포함해서.
Gemini
무료: 2.5 Flash / Pro $19.99/mo: 3.1 Pro
이 웹 앱의 'JWT 공격 & 방어' 관련 보안 헤더·인증 로직을 전체 분석해서 취약점·우회 가능 케이스·로그 누락을 우선순위 리포트로 만들어줘.
Grok
무료: Grok 4.1 / SuperGrok $30/mo
'JWT 공격 & 방어' 취약점이 실제 해킹 사건·CVE에서 얼마나 자주 발견되는지 2026년 기준 솔직한 데이터로 알려줘.
⭐ 이것만 기억하세요
JWT 공격 & 방어는 이 3가지만 확실히 잡으세요
1.JWT의 서명 검증만 믿으면 알고리즘 혼동 공격, 키 추측, 클레임 변조에 취약합니다
2.alg 헤더 고정, 키 길이 최소 256비트, 클레임 최소화, 블랙리스트 기반 토큰 폐기가 JWT 심화 방어입니다
3.다음 챕터에서 OAuth2의 취약점을 배웁니다
공유하기
진행도 45 / 84