🚨 문제 상황

<aside>

BFF · Core 서버가 분리된 구조에서 초기에는 HS256 대칭 키 방식으로 JWT를 구현하였습니다. 그러나 BFF 서버에서도 토큰 검증이 필요한 상황이 발생하면서 문제가 드러났습니다.

• HS256 방식은 Secret Key로 서명하고 동일한 Secret Key로 검증하는 구조
• BFF 서버에서 토큰을 검증하려면 Secret Key를 공유해야 하므로 키 노출 시 보안 위협 발생
• Core 서버에서만 검증 가능한 구조적 한계로 BFF 인증 처리 불가 </aside>

🔍 문제 원인

<aside>

• HS256 대칭 키 방식은 단일 서버 환경에서는 문제없으나 멀티 서버 환경에서는 Secret Key 공유 문제 발생
• BFF · Core 서버가 분리된 구조에서는 각 서버가 독립적으로 토큰을 검증할 수 있어야 함 </aside>

해결 과정

• RS256 비대칭 키 방식으로 변경

Private Key → Core 서버에서 토큰 서명
Public Key  → BFF · 외부 서비스에서 토큰 검증

• RSA 키 쌍 생성

openssl genpkey -algorithm RSA -out private_key.pem -pkeyopt rsa_keygen_bits:2048
openssl rsa -pubout -in private_key.pem -out public_key.pem

• TokenProvider 리팩토링

# Before
Keys.hmacShaKeyFor(secret.getBytes())  // HS256 단일 Key

# After
// KeyFactory 기반 RSA 키 로딩
// 서명: privateKey + SignatureAlgorithm.RS256
// 검증: publicKey로 수행

• 환경별 설정 분리

# application-local.properties
jwt.private-key=classpath:keys/private_key.pem
jwt.public-key=classpath:keys/public_key.pem

# application-prod.properties
jwt.private-key=file:/app/keys/private_key.pem
jwt.public-key=file:/app/keys/public_key.pem

• 보안 관리
  • private_key.pem .gitignore 등록
  • GitHub Secrets에 JWT_PRIVATE_KEY · JWT_PUBLIC_KEY 등록
  • 기존 JWT_SECRET 환경변수 제거
• CI/CD 워크플로우 수정
  • PEM 파일 배포 스텝 추가
  • Docker 볼륨 마운트 옵션 추가 v /home/ubuntu/app/keys:/app/keys:ro