OAuth프로토콜 관점에서 본 OAuth 인증과정

1083108 OAuth프로토콜 관점에서 본 OAuth 인증과정 1083036 2009-03-19T11:07:55Z http://dev.springnote.com/pages/1083108 2008-04-17T06:29:26Z <h2>OAuth프로토콜 관점에서 본 OAuth 인증과정</h2> <blockquote> <p>본 문서는 OAuth프로토콜 관점에서 본 OAuth 인증과정을 설명하며, OAuth 스팩의 <a href="http://oauth.net/core/1.0/#anchor25" title="http://oauth.net/core/1.0/#anchor25" class="external">Appendix A - Protocol Example</a>의 내용을 기반으로 작성되었습니다.</p> <p>각 과정은 아래에 나온 순서도에 기반하여 이루어지기 때문에 그림과 함께 보면 이해하는데 도움이 될 것입니다.</p> </blockquote> <p style="text-align: center;"><img src="http://oauth.net/core/diagram.png" alt="" /></p> <p style="text-align: right;">* 이 사진에 나오는 A,B,C.. 단계는 아래의 단계와 관련이 없습니다.</p> <h3>A. 프로토콜 예제</h3> <p>본 예제에서 <em>서비스 프로바이더</em>인 photos.example.net 는 사진 공유 사이트이며, <em>컨수머</em>인 printer.example.com은 사진 출력 사이트입니다. Jane은 <em>사용자</em>이며 photos.example.com에 저장되어 있는 비공개 사진인 vacation.jpg를 출력하기 위하여 printer.example.com 서비스를 사용할 것입니다.</p> <p>Jane이 그녀의 아이디와 비밀번호를 입력하여 photos.example.net 에 로그인하면, 그녀는 <a href="http://photos.example.net/photo?file=vacation.jpg">http://photos.example.net/photo?file=vacation.jpg</a> URL을 통해 그녀의 사진에 접근할 것입니다. 다른 사용자들은 그 사진에 접근할 수 없으며, Jane은 그녀의 아이디와 비밀번호를 printer.example.com에 공유하고 싶지 않습니다.</p> <p>이 예제에서 파라미터를 전송할 때 사용하는 요청은 URL 쿼리 메소드를 사용합니다. 이는 단순한 예제를 위해 사용되며 한개의 메소드가 다른 용도로 사용되어서는 안됩니다.</p> <h5>A.1. 문서화와 등록</h5> <p><em>서비스 프로바이더</em>의 문서에서는 <em>컨수머 키</em>와 <em>컨수머 시크릿</em>을 등록하는 방법을 설명하며, 다음과 같은 URL들을 선언해 주어야 합니다.</p> <blockquote class="text"> <dl> <dt>Request Token URL:</dt> <dd>https://photos.example.net/request_token, HTTP POST 사용</dd> <dt>User Authorization URL:</dt> <dd>http://photos.example.net/authorize,  HTTP GET 사용</dd> <dt>Access Token URL:</dt> <dd>https://photos.example.net/access_token, HTTP POST 사용</dd> <dt>Photo (Protected Resource) URL:</dt> <dd>http://photos.example.net/photo , file파라미터와 size파라미터(선택적)와 함께 전송</dd> </dl> </blockquote> <p><em>서비스 프로바이더</em>는 모든 요청에 대하여 HMAC-SHA1 시그네쳐를 지원하며, 보안(HTTPS)요청일 경우에만 PLAINTEXT을 사용할 수 있음을 말해줍니다.</p> <p><em>컨수머</em>인 printer.example.com은 이미 <em>컨수머 키</em>와 <em>컨수머 시크릿</em>을 photos.example.net으로 부터 부여 받았으며, 출력할 사진은 photos.example.net에 저장되어 있음을 명시합니다. <em>컨수머</em> 등록을 하면 다음과 같은 값들을 부여받습니다:</p> <blockquote class="text"> <dl> <dt>Consumer Key:</dt> <dd>dpf43f3p2l4k3l03</dd> <dt>Consumer Secret:</dt> <dd>kd94hf93k423kf44</dd> </dl> </blockquote> <h5>A.2. <em>리퀘스트 토큰</em> 얻기</h5> <p>Jane이 printer.example.com에게 photos.example.net에 저장되어 있는 그녀의 휴가사진을 출력할 것임을 알려주면, 출력 웹사이트는 사진에 접근을 시도할 것이며, 그 사진은 비공개이기 때문에 HTTP 401 Unauthorized 메시지를 받습니다. <em>서비스 프로바이더</em>는 응답과 함께 다음과 같은 헤더를 포함합니다:</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> WWW-Authenticate: OAuth realm="http://photos.example.net/" </pre></div> <p><em>컨수머</em>는 <em>서비스 프로바이더</em>에게 다음과 같은 HTTP POST를 보내야 합니다.</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> https://photos.example.net/request_token?oauth_consumer_key=dpf43f3p2l4k3l03&oauth_signature_method=PLAINTEXT&oauth_signature=kd94hf93k423kf44%26&oauth_timestamp=1191242090&oauth_nonce=hsu94j3884jdopsl&oauth_version=1.0 </pre></div> <p><em>서비스 프로바이더</em>는 signature를 검사하고, HTTP 응답의 body에 인증되지 않은 <em>리퀘스트 토큰</em>과 함께 응답합니다.</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> oauth_token=hh5s93j4hdidpola&oauth_token_secret=hdhd0244k9j7ao03 </pre></div> <h5>A.3. 사용자 인증 요청하기</h5> <p><em>컨수머</em>는 Jane의 비공개 사진으로 접근을 승인을 얻기 위하여 브라우저를 <em>서비스 프로바이</em>더의 Authoirization URL로 리다이렉트 시킵니다.</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> http://photos.example.net/authorize?oauth_token=hh5s93j4hdidpola&oauth_callback=http%3A%2F%2Fprinter.example.com%2Frequest_token_ready </pre></div> <p><em>서비스 프로바이더</em>는 Jane이 그녀의 아이디와 비밀번호를 사용해 로그인 할 것을 요청하고, 성공적으로 로그인을 했으면, printer.example.com이 그녀의 비공개 사진에 접근할 권한을 줄 것인지 묻습니다. Jane이 요청을 승인하면, <em>서비스 프로바이더</em>는 <em>컨수머</em>의 callback URL로 리다이렉트 시킵니다:</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> http://printer.example.com/request_token_ready?oauth_token=hh5s93j4hdidpola </pre></div> <h5>A.4. <em>액세스 토큰</em> 얻기</h5> <p>이제 <em>컨수머</em>는 Jane이 승인한 <em>리퀘스트 토큰</em>을 알고 있으며, <em>서비스 프로바이더</em>에게 그것을 <em>액세스 토큰</em>으로 교환해 줄 것을 요청합니다:</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> https://photos.example.net/access_token?oauth_consumer_key=dpf43f3p2l4k3l03&oauth_token=hh5s93j4hdidpola&oauth_signature_method=PLAINTEXT&oauth_signature=kd94hf93k423kf44%26hdhd0244k9j7ao03&oauth_timestamp=1191242092&oauth_nonce=dji430splmx33448&oauth_version=1.0 </pre></div> <p><em>서비스 프로바이더</em>는 시그네쳐를 검사하고 HTTP 응답의 바디에 <em>액세스 토큰</em>을 넘겨줍니다:</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> oauth_token=nnch734d00sl2jdk&oauth_token_secret=pfkkdhi9sl3r4s00 </pre></div> <h5>A.5. <em>보호된 자원</em>에 접근하기</h5> <p><em>컨수머</em>는 이제 비공개 사진을 요청할 준비가 되었습니다. 사진 URL이 HTTPS가 아니라면, 반드시 HMAC-SHA1을 사용해야 합니다.</p> <h6>A.5.1. Signature Base String 생성하기</h6> <p>signature를 생성하기 위해, Signature Base String을 생성해야 합니다. 요청은 다음과 같은 파라미터들(oauth_signature를 제외한)을 순서대로 노멀라이즈된 문자열로 연결한 것을 포함해야 합니다.</p> <blockquote class="text"> <dl> <dt>oauth_consumer_key:</dt> <dd>dpf43f3p2l4k3l03</dd> <dt>oauth_token:</dt> <dd>nnch734d00sl2jdk</dd> <dt>oauth_signature_method:</dt> <dd>HMAC-SHA1</dd> <dt>oauth_timestamp:</dt> <dd>1191242096</dd> <dt>oauth_nonce:</dt> <dd>kllo9940pd9333jh</dd> <dt>oauth_version:</dt> <dd>1.0</dd> <dt>file:</dt> <dd>vacation.jpg</dd> <dt>size:</dt> <dd>original</dd> </dl> </blockquote> <p>다음과 같은 것들이 Signatrue Base String을 생성하기 위해 사용됩니다.</p> <ol class="text"> <li>GET</li> <li>http://photos.example.net/photos</li> <li>file=vacation.jpg&oauth_consumer_key=dpf43f3p2l4k3l03&oauth_nonce=kllo9940pd9333jh&oauth_signature_method=HMAC-SHA1&oauth_timestamp=1191242096&oauth_token=nnch734d00sl2jdk&oauth_version=1.0&size=original</li> </ol> <p>Signature Base String 은 다음과 같습니다:</p> <div style="display: table; width: 0pt; margin-left: 3em; margin-right: auto;"> <pre> GET&http%3A%2F%2Fphotos.example.net%2Fphotos&file%3Dvacation.jpg%26oauth_consumer_key%3Ddpf43f3p2l4k3l03%26oauth_nonce%3Dkllo9940pd9333jh%26oauth_signature_method%3DHMAC-SHA1%26oauth_timestamp%3D1191242096%26oauth_token%3Dnnch734d00sl2jdk%26oauth_version%3D1.0%26size%3Doriginal </pre></div> <h6>A.5.2. Signature 값 암호화 하기</h6> <p>HMAC-SHA1은 Signature Base String을 text로, kd94hf93k423kf44&pfkkdhi9sl3r4s00(<em>컨수머 시크릿&액세스토큰시크릿</em>)를 key로 사용하여 base64-encoding된 문자열로 변환된 값을 만들어 냅니다:</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> tR3+Ty81lMeYAr/Fid0kMTYa/WM= </pre></div> <h6>A.5.3. <em>보호된 자원</em> 요청하기</h6> <p>사진을 요청하기 위한 <em>컨수머</em>의 요청내용을 정리해 보면 :</p> <div style="display: table; width: 0pt; margin-right: auto;"> <pre> http://photos.example.net/photos?file=vacation.jpg&size=original Authorization: OAuth realm="http://photos.example.net/", oauth_consumer_key="dpf43f3p2l4k3l03", oauth_token="nnch734d00sl2jdk", oauth_signature_method="HMAC-SHA1", oauth_signature="tR3%2BTy81lMeYAr%2FFid0kMTYa%2FWM%3D", oauth_timestamp="1191242096", oauth_nonce="kllo9940pd9333jh", oauth_version="1.0" </pre></div> <p>쿼리 파라미터를 사용한다면:</p> <div style="display: table; width: 0pt; margin-left: 3em; margin-right: auto;"> <pre> http://photos.example.net/photos?file=vacation.jpg&size=original&oauth_consumer_key=dpf43f3p2l4k3l03&oauth_token=nnch734d00sl2jdk&oauth_signature_method=HMAC-SHA1&oauth_signature=tR3%2BTy81lMeYAr%2FFid0kMTYa%2FWM%3D&oauth_timestamp=1191242096&oauth_nonce=kllo9940pd9333jh&oauth_version=1.0 </pre></div> <p>photos.example.net은 signature를 검사하고 나서 요청한 사진을 응답으로 돌려줄 것입니다.</p> <p> </p> <p> </p> <hr /> <p>여기까지 OAuth프로토콜 관점에서 본 OAuth인증 과정을 살펴보았습니다. 이제 OAuth의 이해를 바탕으로 실제 <em>컨수머</em> 개발을 위해 <a href="/pages/1082120" title="http://dev.springnote.com/pages/1082120" class="external">튜토리얼</a>을 참고하시기 바랍니다.</p> <p> </p> deepblue humbroll 133