비밀번호 재설정 링크는 계정에 다시 들어갈 수 있는 강력한 수단입니다. 유효시간만 짧게 해도 한 번 사용한 링크가 다시 열리거나 오래된 링크가 남아 있으면 위험합니다. 발급부터 사용, 폐기까지 하나의 수명주기로 다뤄야 합니다.
요청 단계에서 계정을 노출하지 않는다
재설정 요청 화면이 존재하는 계정과 없는 계정에 완전히 다른 메시지를 보여 주면 계정 목록을 추측할 수 있습니다. 사용자에게는 비슷한 안내를 제공하고 내부적으로 실제 전송 여부를 기록합니다.
요청 횟수를 제한하되 정상 사용자를 쉽게 잠그지 않도록 설계합니다. 대량 발송과 괴롭힘을 막는 운영 장치도 필요합니다.
토큰을 목적에 묶는다
무작위성이 충분한 토큰을 만들고 서버에는 원문 대신 검증 가능한 형태로 보관하는 방법을 검토합니다. 계정, 목적, 발급 시각, 만료 시각을 연결합니다.
다른 기능의 확인 링크와 토큰을 공유하지 않습니다. 링크가 다른 곳에 복사될 수 있으므로 로그와 분석 도구에 원문이 남지 않게 합니다.
성공 뒤 즉시 무효화한다
비밀번호 변경이 완료되면 토큰을 한 번만 사용한 것으로 처리합니다. 동시에 두 요청이 들어와도 한 번만 성공하도록 상태 변경을 원자적으로 수행합니다.
재설정 뒤 기존 세션을 유지할지 종료할지 보안 정책을 정하고 사용자에게 알립니다. 비밀번호 변경 여부와 세션 회수 범위를 명확히 해야 합니다.
가상 사례: 두 번째 링크 발급
첫 링크를 받았지만 사용하지 않아 다시 요청했다고 가정해 봅시다. 새 링크가 발급될 때 이전 링크를 어떻게 처리할지 정해야 사용자가 혼동하지 않습니다.
가장 최근 링크만 유효하게 하거나 발급별 상태를 관리할 수 있습니다. 어떤 정책이든 화면과 안내 문구가 실제 동작과 일치해야 합니다.
실패 원인을 안전하게 설명한다
만료와 이미 사용됨, 잘못된 토큰을 내부적으로 구분하되 공격자가 토큰 상태를 추측하기 쉬운 상세 응답은 피합니다. 사용자는 새 링크를 요청하는 방법을 알 수 있어야 합니다.
재설정 관련 로그는 성공·실패 추세를 보되 토큰 원문을 남기지 않습니다. 정기적으로 만료·재사용·동시 사용 테스트를 수행합니다.
현장에 적용할 때의 순서
- 계정 존재 노출을 줄이는 응답을 쓴다
- 토큰을 계정·목적·만료에 묶는다
- 사용 뒤 원자적으로 폐기한다
주의할 실패: 만료 시간이 남은 사용 완료 링크가 다시 열리면 한 번 사용한 토큰이라는 기대가 깨진다.
관찰할 지표: 재사용·동시 사용·이전 링크의 유효성 테스트를 자동화한다.
적용 전 체크리스트
- 토큰이 계정·목적·만료에 묶이는가
- 성공 후 재사용과 동시 사용이 차단되는가
- 토큰이 로그·분석 URL에 남지 않는가
참고 자료
OWASP Forgot Password Cheat Sheet. OWASP의 재설정 토큰과 계정 노출 방지 지침을 참고했습니다. 세션 종료 범위와 새 링크 정책은 제품별로 정해야 합니다.
이미지와 도식은 이해를 돕기 위한 개념 시각화입니다. 특정 고객의 실제 설비·데이터·화면을 재현한 것이 아닙니다.
#비밀번호재설정 #인증보안 #토큰수명 #계정보안 #웹보안 #접근제어 #사용자경험 #보안로그 #세션관리 #SaaS보안
