クイズ: 認証方式の地形図

OAuth 2.0 액세스 토큰으로 '로그인 성공'을 판단하는 것이 위험한 이유는?

• 액세스 토큰에는 만료 시각이 없어 한 번 발급되면 계속 유효하기 때문에
• 액세스 토큰은 평문으로 오가므로 중간에서 내용을 읽을 수 있기 때문에
• 액세스 토큰은 서버에 보관할 수 없어 세션과 연결할 방법이 없기 때문에
• 인가용이라 '누구에게 발급됐는지' 근거가 약해 다른 앱 토큰을 가져다 쓸 수 있어서

레거시 WebSSO 의 헤더 주입 방식(SM_USER 등)에서 반드시 필요한 통제가 아닌 것은?

• 앱 포트에 게이트웨이 외에는 접근하지 못하도록 하는 네트워크 격리
• 외부에서 들어온 인증 헤더를 엣지에서 무조건 제거하고 새로 채우기
• 애플리케이션에서 헤더 값을 base64 로 인코딩해 전달하기
• 게이트웨이와 앱 사이의 상호 인증(mTLS 또는 공유 비밀)

LDAP 인증과 OIDC 기반 SSO 의 가장 실질적인 차이는?

• LDAP 은 단일 조회로 끝나 왕복이 적어 로그인이 더 빠르다
• LDAP 은 사용자 속성만 주고 그룹·역할 정보는 제공하지 못한다
• LDAP 은 앱이 비밀번호를 직접 받아 검증하고, OIDC 는 앱이 비밀번호를 보지 않는다
• OIDC 는 공인 IdP 가 필요해 인터넷이 끊긴 사내망에서는 쓸 수 없다

SSO 전환 후 3주가 지나 월말에 갑자기 인증 실패가 발생했습니다. 가장 유력한 원인은?

• 월말에만 도는 배치·연동이 사람 로그인 경로를 흉내 내다 전환 대상에서 빠졌다
• SSO 도입 시 발급한 인증서의 유효기간이 마침 그 시점에 끝났다
• 월말 정산으로 동시 접속이 몰려 IdP 의 동시 세션 한계를 넘겼다
• 브라우저에 남은 옛 세션 쿠키가 만료되며 충돌을 일으켰다

SM_USERGROUPS: hr-staff^payroll-admin 를 콤마 구분으로 파싱했을 때의 결과는?

• 전체가 하나의 그룹 이름으로 인식되어 권한 판정이 전부 실패한다
• 그룹이 정상적으로 두 개 인식된다
• 파싱 예외가 발생해 로그인이 차단된다
• 첫 번째 그룹만 인식된다

고객사가 이미 SAML IdP 를 운영 중이고 우리 시스템만 신규일 때 가장 현실적인 선택은?

• 고객사에 OIDC 로 전환해 달라고 요청한다
• 우리 시스템이 SAML SP 로 붙는다
• 우리 시스템에 별도 아이디/비밀번호를 만든다
• 고객사 AD 에 직접 LDAP bind 한다