분산 컴퓨팅에서의 토큰 신뢰 및 추적성: 연구 결과와 권고사항

목차

1 서론

토큰 신뢰 및 추적성 워킹 그룹(TTT)은 분산 컴퓨팅 커뮤니티(WLCG, EGI, IGWN)가 X.509 인증서에서 토큰 기반 인증 및 인가 인프라(AAI)로 전환하는 과정에서 발생하는 중요한 과제들을 해결합니다. 이러한 패러다임 전환은 원래 X.509 및 VOMS 시스템을 위해 설계된 정책과 프로세스를 재검토할 것을 요구합니다.

2 토큰, 신뢰 및 추적성

2.1 토큰 배경

원래 상업적 제공업체(Google, Microsoft)에 의해 개발된 토큰 기반 솔루션들이 분산 컴퓨팅 인프라에 채택되고 있습니다. 이 전환에는 Indigo IAM, RCIAM, GEANT Core AAI Platform, CILogon을 포함한 OpenID Connect 제공업체(OP)들이 관여합니다.

2.2 토큰 패러다임의 신뢰 모델

신뢰 모델은 계층적 PKI에서 분산형 토큰 기반 인증으로 전환됩니다. 주요 과제로는 발행자 검증, 토큰 취소, 도메인 간 신뢰 구축 등이 있습니다.

2.3 추적성 과제

X.509 시스템과 동등한 워크플로우 추적성을 유지하는 것은 토큰 환경에서 상당한 과제를 제시하며, 시스템 관리자를 위한 새로운 방법론이 필요합니다.

3 기술 구현

3.1 JWT 토큰 구조

JSON 웹 토큰(JWT)은 RFC9068 사양을 따르며 주요 필드는 다음과 같습니다:

• iss: 토큰 발행자 식별자
• sub: 주체 (인증서의 DN과 동등)
• aud: 의도된 대상
• scope: 승인된 작업
• jti: 고유 토큰 식별자
• exp/iat/nbf: 시간 유효성 클레임

3.2 수학적 기초

토큰 보안은 암호학적 서명에 의존합니다. 검증 프로세스는 다음과 같이 표현될 수 있습니다:

$\\text{Verify}(token, key) = \\text{true} \\iff \\text{Signature}(header.payload) = \\text{signature}$

여기서 서명 알고리즘은 일반적으로 RS256을 사용합니다: $\\text{RSASSA-PKCS1-v1_5 using SHA-256}$

3.3 코드 구현

// 토큰 검증 의사 코드 예시
function validateToken(token, issuerConfig) {
    // 토큰 헤더 디코딩
    const header = base64decode(token.split('.')[0]);
    
    // 발행자의 공개 키를 사용한 서명 검증
    const signingKey = getPublicKey(issuerConfig.iss, header.kid);
    const isValid = verifySignature(token, signingKey);
    
    // 클레임 검증
    if (isValid) {
        const payload = getTokenPayload(token);
        return validateClaims(payload, {
            issuer: issuerConfig.iss,
            audience: expectedAudience,
            expiration: currentTime
        });
    }
    return false;
}

4 실험 결과

워킹 그룹은 여러 미들웨어 스택에서 광범위한 테스트를 수행했습니다. 주요 결과는 다음과 같습니다:

5 향후 적용 분야

토큰 기반 AAI 패러다임은 다음과 같은 새로운 기능들을 가능하게 합니다:

• 연구 인프라 간 연합 신원
• 실시간 속성 기반 동적 인가
• 자격 증명 관리 감소를 통한 향상된 사용자 경험
• 짧은 수명의 자격 증명을 통한 향상된 보안

6 참고문헌

1. Jones, M., et al. "JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens" RFC 9068 (2021)
2. WLCG Authorization Working Group. "Token-based AuthZ for WLCG" (2023)
3. Hardt, D. "The OAuth 2.0 Authorization Framework" RFC 6749 (2012)
4. Sakimura, N., et al. "OpenID Connect Core 1.0" (2014)