리프레시 토큰 로테이션과 세션 관리 — 탈취에 강한 토큰 수명주기 설계

┌──────────────────────────────────────────────────────────┐
│  Access Token (AT)                                       │
│  - 용도: API 호출 인가                                     │
│  - 수명: 5~15분 (짧게!)                                    │
│  - 검증: stateless (서명 검증만, IdP 조회 없음)              │
│  - 탈취 시: 수명만큼만 피해. 차단 불가가 전제                  │
├──────────────────────────────────────────────────────────┤
│  Refresh Token (RT)                                      │
│  - 용도: 새 AT 발급 (IdP의 token 엔드포인트에서만 사용)        │
│  - 수명: idle 수 시간~수 주, max 수 주~수 개월               │
│  - 검증: stateful (IdP가 세션/패밀리 상태를 확인)             │
│  - 탈취 시: rotation + reuse detection으로 감지/차단         │
└──────────────────────────────────────────────────────────┘

시각      클라이언트            IdP
t0        RT1로 갱신 요청  →    AT2 + RT2 발급, RT1을 "사용됨"으로 마킹
t1        RT2로 갱신 요청  →    AT3 + RT3 발급, RT2를 "사용됨"으로 마킹
t2        RT3로 갱신 요청  →    AT4 + RT4 발급, ...

패밀리 F1:  RT1 ──> RT2 ──> RT3 (현재 유효)

탈취 시나리오 A: 공격자가 먼저 사용
  1. 공격자가 RT2를 탈취해 갱신 → RT3' 획득 (공격자가 최신)
  2. 정상 사용자가 RT2로 갱신 시도
  3. IdP: "RT2는 이미 사용됨" → 재사용 감지!
  4. 패밀리 F1 전체 무효화 (RT3'도 죽음)
  5. 양쪽 모두 로그아웃 → 정상 사용자는 재로그인, 공격자는 차단

탈취 시나리오 B: 정상 사용자가 먼저 사용
  1. 공격자가 RT2를 탈취 (아직 미사용)
  2. 정상 사용자가 RT2로 갱신 → RT3 발급
  3. 공격자가 RT2로 갱신 시도 → 재사용 감지! → 패밀리 무효화

어느 쪽이 먼저든, "두 번 쓰인 RT"가 감지되는 순간
패밀리 전체가 죽는다는 것이 핵심입니다.

# Keycloak: rotation + 재사용 0회 허용 (가장 엄격)
kcadm.sh update realms/myrealm \
  -s revokeRefreshToken=true \
  -s refreshTokenMaxReuse=0

┌───────────────────────────────────────────────────────────────┐
│ 3계층 세션 모델                                                  │
│                                                               │
│  [브라우저]                                                     │
│   ├── 앱 세션 A (app-a.example.com의 세션 쿠키)                  │
│   ├── 앱 세션 B (app-b.example.com의 세션 쿠키)                  │
│   └── IdP 세션  (idp.example.com의 SSO 쿠키)                    │
│                       │                                       │
│                       ▼                                       │
│  [IdP 서버]                                                    │
│   └── SSO 세션 (서버 측 상태: 어떤 사용자가, 어떤 클라이언트들에,    │
│                 언제 인증했는지의 원장)                            │
│        ├── Client Session A (app-a에 대한 토큰 발급 기록)         │
│        └── Client Session B (app-b에 대한 토큰 발급 기록)         │
└───────────────────────────────────────────────────────────────┘

SSO Session Idle:    기본 30분
  - 이 시간 동안 세션 활동(토큰 갱신 등)이 없으면 세션 만료
  - RT의 실효 idle 수명을 결정 (RT 수명 = min(이 값, client session 값))

SSO Session Max:     기본 10시간
  - 활동과 무관하게 최초 인증 후 이 시간이 지나면 세션 만료
  - "아무리 열심히 갱신해도 10시간 후엔 재로그인"의 근거

Client Session Idle / Client Session Max: 기본 0 (= SSO 값 상속)
  - 클라이언트 단위로 더 짧은 토큰 수명을 강제하고 싶을 때 사용
  - 예: realm 전체는 idle 30일이지만, 결제 클라이언트만 idle 30분
  - 클라이언트의 Advanced Settings에서 개별 재정의도 가능

Offline Session Idle:           기본 30일
  - offline RT를 30일 안에 한 번씩 사용하면 계속 연장

Offline Session Max Limited:    활성화 시 절대 상한 적용
Offline Session Max:            기본 60일
  - 갱신 여부와 무관한 절대 만료

Access Token Lifespan:               기본 5분 (늘리지 마세요)
Access Token Lifespan For Implicit:  레거시, 무시
Client Login Timeout:                인가 코드 → 토큰 교환의 허용 시간

kcadm.sh update realms/myrealm \
  -s accessTokenLifespan=600 \
  -s ssoSessionIdleTimeout=1209600 \
  -s ssoSessionMaxLifespan=7776000 \
  -s offlineSessionIdleTimeout=2592000 \
  -s offlineSessionMaxLifespanEnabled=true \
  -s offlineSessionMaxLifespan=15552000 \
  -s revokeRefreshToken=true \
  -s refreshTokenMaxReuse=0

사용자 alice의 세션 목록 (IdP 관점)
┌────────────┬──────────────┬─────────────┬──────────────┐
│ 세션 ID     │ 디바이스       │ 시작         │ 마지막 활동     │
├────────────┼──────────────┼─────────────┼──────────────┤
│ sess-a1    │ MacBook/Chrome│ 06-10 09:12 │ 06-12 11:40  │
│ sess-b2    │ iPhone/앱     │ 06-08 20:01 │ 06-12 08:15  │
│ sess-c3    │ 회사 PC/Edge  │ 06-11 08:55 │ 06-11 18:02  │
└────────────┴──────────────┴─────────────┴──────────────┘

# 사용자 세션 목록 조회
kcadm.sh get users/USER-UUID/sessions -r myrealm

# 특정 세션만 종료
kcadm.sh delete sessions/SESSION-ID -r myrealm

# 사용자의 모든 세션 종료 (모든 디바이스 로그아웃)
kcadm.sh create users/USER-UUID/logout -r myrealm

1. 앱 세션 삭제      (앱 자신의 세션 쿠키/저장소)
2. IdP 세션 종료     (OIDC RP-Initiated Logout: /logout 엔드포인트)
3. RT 무효화        (token revocation: RFC 7009 /revoke)
4. 다른 앱들에 전파   (Back-Channel Logout: RFC 적용 또는 OIDC 스펙)

Back-Channel Logout 흐름
IdP ── POST logout_token(JWT, sid=xyz) ──> App B의 /backchannel-logout
                                            ├ 서명/클레임 검증
                                            ├ sid=xyz → 앱 세션 s-42 조회
                                            └ s-42 파기, 204 응답

┌─────────┐    HttpOnly 세션 쿠키    ┌─────────────┐   AT/RT 보관   ┌────────┐
│ Browser │ <─────────────────────> │     BFF     │ <───────────> │  IdP   │
│  (SPA)  │      /api/* 프록시       │ (서버 세션)  │               └────────┘
└─────────┘                         │      │      │  AT 첨부
                                    │      └──────┼──────────────> APIs
                                    └─────────────┘

// BFF의 토큰 갱신 미들웨어 (개념 스케치)
import { Issuer } from 'openid-client';

const sessionLocks = new Map(); // 세션별 갱신 직렬화

async function ensureFreshToken(req, res, next) {
  const session = await store.get(req.sessionId);
  if (!session) return res.status(401).end();

  const skewMs = 30_000; // 만료 30초 전부터 선제 갱신
  if (session.atExpiresAt - Date.now() > skewMs) {
    req.accessToken = session.accessToken;
    return next();
  }

  // 같은 세션의 동시 갱신을 하나로 직렬화 (rotation 오발 방지)
  let lock = sessionLocks.get(req.sessionId);
  if (!lock) {
    lock = oidcClient
      .refresh(session.refreshToken) // rotation: 새 RT가 돌아옴
      .then(async (tokens) => {
        await store.update(req.sessionId, {
          accessToken: tokens.access_token,
          refreshToken: tokens.refresh_token, // 구 RT는 즉시 폐기
          atExpiresAt: Date.now() + tokens.expires_in * 1000,
        });
        return tokens.access_token;
      })
      .finally(() => sessionLocks.delete(req.sessionId));
    sessionLocks.set(req.sessionId, lock);
  }

  try {
    req.accessToken = await lock;
    next();
  } catch (err) {
    await store.destroy(req.sessionId); // 갱신 실패 = 세션 종료
    res.status(401).end();
  }
}

징후: 재사용 감지 이벤트가 평소의 수십 배로 급증
대응:
 1. 감지된 패밀리는 자동 무효화되고 있음을 확인 (이미 방어 동작 중)
 2. 영향 사용자 추출 → 강제 전체 세션 종료 + 비밀번호/passkey 재등록 안내
 3. offline token 보유 사용자는 별도 점검 (로그아웃에도 살아남으므로)
 4. AT 수명 임시 단축 (10분 → 5분) 검토

# 1. 즉시 모든 세션 종료 (모든 디바이스에서 로그아웃)
kcadm.sh create users/USER-UUID/logout -r myrealm

# 2. offline 토큰 포함 동의(consent) 철회
kcadm.sh delete users/USER-UUID/consents/CLIENT-ID -r myrealm

# 3. 자격증명 재설정 요구 (비밀번호 + passkey 재등록)
kcadm.sh update users/USER-UUID -r myrealm \
  -s 'requiredActions=["UPDATE_PASSWORD","webauthn-register-passkey"]'