[논문 리뷰] JSON Web Token (JWT) based client authentication in Message Queuing Telemetry Transport (MQTT)

Krishna Shingala|arXiv (Cornell University)|2019. 03. 07.

Arduino and IoT Applications참고 문헌 7인용 수 9

한 줄 요약

이 논문은 사물인터넷(IoT) 시스템에서 MQTT 클라이언트의 JSON 웹 토큰(JWT) 및 TLS 기반 상호 인증을 평가하며, 제한된 장치에 적합한 경량이고 프라이버시를 보존하는 인증 방식으로 JWT가 유용함을 입증한다. 반면 TLS는 강력한 보안을 제공하지만 더 높은 자원 소비를 동반한다. 주요 기여는 IoT 환경에서 보안, 성능, 배포 복잡성 간의 상충 관계를 분석한 비교 분석이다.

ABSTRACT

This paper is an overview of JSON Web Token (JWT) and Transport Layer Security (TLS) as two primary approaches for authentication of the things on the Internet. JSON Web Token (JWT) is used extensively today for authorization and authentication within the OAuth and the OpenId framework. Recently, the Google Cloud IoT has mandated the use of JWT for both HTTP and Message Queuing Telemetry Transport (MQTT) protocol based clients connecting to the cloud service securely over TLS. MQTT is the protocol of choice in IoT devices and is the primary focus of this paper as the application protocol. Another popular cloud platform Amazon Web Service (AWS) uses the TLS mutual authentication for client authentication. Any comparison provided here between the two approaches is primarily from a constrained device client perspective.

연구 동기 및 목표

• MQTT 기반 IoT 클라이언트의 인증 메커니즘으로 JWT와 TLS를 평가하기 위해.
• 제한된 IoT 장치의 관점에서 JWT와 TLS의 보안, 성능, 자원 오버헤드를 비교하기 위해.
• JWT와 인증서 기반 TLS 인증 간의 프라이버시 영향 및 신뢰 모델 차이를 평가하기 위해.
• 실제 IoT 시스템에서 각 접근 방식과 관련된 배포 도전 과제와 위험을 규명하기 위해.
• 사용 사례, 장치 제약 조건, 위협 모델에 기반한 인증 체계 선택을 위한 지침을 제공하기 위해.

제안 방법

• 논문은 토큰 기반 인증을 위한 JWT 표준(RFC 7519)과 OAuth 및 OpenID Connect와의 통합을 분석한다.
• AWS IoT에서 구현된 바탕으로 TLS 핸드셰이크 프로세스, 인증서 체인 및 상호 인증을 검토한다.
• 계산 비용, 메모리 사용량, 키 관리 복잡성 측면에서 Google Cloud IoT에서 사용하는 JWT 기반 인증과 TLS 클라이언트 인증서 인증을 비교 분석한다.
• 무결성 및 신원 확인을 위해 JWT에서 HMAC-SHA256 및 공개키 서명(예: ECDSA)의 사용을 평가한다.
• 보안 채널(TLS)이 JWT 교환을 보호하는 역할와, 제대로 보호되지 않을 경우 중간자 공격의 위험을 논의한다.
• 정확한 시간 동기화의 중요성과, TLS에서 블록 서식 암호화 방식(CBC 모드)을 사용할 경우 예측 가능한 MQTT 페이로드로 인한 알려진 평문 공격의 위험을 강조한다.

실험 결과

연구 질문

• RQ1 제한된 IoT 장치에서 JWT 기반 인증과 TLS 상호 인증 간의 계산 및 메모리 오버헤드 측면에서 어떤 차이가 있는가?
• RQ2 IoT 시스템에서 장치 인증을 위해 JWT를 사용할 경우와 클라이언트 인증서를 사용할 경우의 프라이버시 영향은 무엇인가?
• RQ3 JWT와 TLS의 신뢰 모델은 어떻게 다를 수 있으며, 이는 키 관리 및 장치 생애 주기 관리에 어떤 영향을 미치는가?
• RQ4 비보안 채널을 통해 JWT를 사용할 경우 발생할 수 있는 보안 위험은 무엇이며, TLS는 이를 어떻게 완화하는가?
• RQ5 TLS 1.3은 IoT 배포 환경에서 JWT와 인증서 기반 인증 간의 성능 격차를 어느 정도 줄일 수 있는가?

주요 결과

• JWT 기반 인증은 클라이언트 인증서를 통해 신원을 노출하지 않기 때문에 TLS 상호 인증보다 더 나은 클라이언트 프라이버시를 제공한다.
• TLS 상호 인증은 복잡한 인증서 체인 관리가 필요하며, 특히 자원이 제한된 장치에서는 더 높은 계산 비용을 유발한다.
• JWT는 상태 없이 독립적으로 검증 가능하므로, TLS의 인증서 취소 목록 관리에 비해 서버 측 상태 관리가 감소한다.
• TLS를 통해 JWT를 교환하면 안전한 토큰 교환을 보장하지만, 전체 채널의 무결성은 강력한 TLS 구성과 구현에 의존한다.
• 양쪽 인증 체계 모두 보안 통신을 위해 TLS에 의존하므로, TLS 프로토콜의 취약점이나 구현 결함으로 인한 취약성이 존재한다.
• 예측 가능한 메시지 패턴으로 인해, 특히 CBC 모드에서 블록 서식 암호화 방식을 사용할 경우 MQTT에서 알려진 평문 공격이 가능할 수 있다.