홈- Google Developers Blog
Announcing DPoP Support for Google OAuth: Securing Refresh Tokens
AI 엔지니어링 브리핑
Google OAuth는 오래 보관되는 갱신 토큰을 특정 기기의 암호화 키와 묶는 DPoP를 도입해, 토큰을 훔겨도 공격자가 재사용하기 어렵게 만들었습니다.
문제 & 배경
- 문제 & 배경: 기존 전달자 토큰은 소유한 사람 누구나 사용할 수 있어 정보 탈취 악성코드나 중간자 공격으로 갱신 토큰이 유출되면 장기간 사용자를 사칭할 위험이 있었습니다.
기술 & 해결책
- 기술 & 해결책: 클라이언트가 만든 공개키·개인키 쌍으로 갱신 토큰을 묶고 요청마다 이를 증명하도록 하되, 성능 부담을 줄이기 위해 짧은 수명의 액세스 토큰은 기존 방식으로 유지했습니다.
교훈 & 주의점
- 교훈 & 주의점: DPoP는 API 토큰 보호 수단일 뿐 웹 쿠키까지 보호하지 않으며, 개인키를 안전하게 보관해야 하고 여러 AI 에이전트가 연쇄적으로 위임하는 경우에는 Google Cloud STS 같은 별도 토큰 교환 방식을 고려해야 합니다.
함께 읽을 글
내용이 비슷해요내용이 비슷한 글을 먼저 보여드려요. 같은 문제나 해결책을 다룬다는 뜻은 아니에요.