매직 링크 (Magic link)

매직 링크 (Magic link)란 무엇인가?

매직 링크 (Magic link)는 인증 (Authentication) 과정 중에 사용자에게 전송되는 일회성 링크입니다.

이 링크에 접속함으로써 사용자는 원하는 리소스에 접근하기 위해 필요한 인증 흐름을 완료하고 적절한 리소스에 대한 접근이 허용됩니다. 이후에는 매직 링크는 더 이상 유효하지 않게 됩니다.

매직 링크 (Magic Link)와 일회용 비밀번호 (OTP)의 차이점은 무엇인가?

사용자가 이메일을 통해 매직 링크 또는 OTP를 받는다고 가정해 봅시다.

많은 경우 사용자는 로그인을 확인하거나 MFA를 위한 추가 확인 요소로 이메일을 통해 OTP를 받습니다. 이메일 매직 링크를 사용하는 것과 이메일 OTP를 사용하는 것의 차이점은 무엇일까요?

OTP의 경우 사용자는 이메일을 확인하고 OTP를 기억한 다음 로그인/검증 과정에 입력해야 합니다. 이를 위해 사용자는 여러 앱이나 페이지 간에 수동으로 반복적으로 전환해야 합니다.

이메일 매직 링크를 사용하는 경우 사용자는 이메일 앱에서 매직 링크가 포함된 이메일을 열고 링크를 클릭하기만 하면 됩니다. 이는 더 간단한 사용자 경험을 제공합니다.

게다가 매직 링크 (Magic link)를 사용하면 링크에 일회성 토큰 외의 정보를 포함할 수 있어 로그인과 관련된 세션 정보를 포함할 수 있습니다. 이는 보안과 사용자 경험을 모두 향상시킬 수 있습니다.

매직 링크 (Magic link)는 어떻게 작동하나요?

이 시퀀스 다이어그램에서는 사용자가 매직 링크를 사용하여 로그인하고 적절한 리소스에 접근하는 과정을 설명합니다.

이 시퀀스 다이어그램에서는 매직 링크가 이메일을 통해 발송된다고 가정합니다. 그러나 매직 링크를 보내는 다른 방법도 가능하며, 예를 들어 모바일 폰으로 문자 메시지를 통해 보낼 수 있습니다. 이러한 대안적인 방법들은 흐름이 거의 동일하므로 여기에서는 다루지 않습니다.

1. 로그인 양식 제시
   브라우저/클라이언트는 사용자가 로그인 양식을 통해 인증 (Authentication) 과정을 시작하도록 합니다.
2. 사용자가 로그인 양식 작성
   사용자는 로그인 양식에 사용자 이름, 이메일 주소 또는 전화번호 등 식별자를 입력합니다. 제공된 정보는 시스템이 고유한 사용자를 식별할 수 있도록 충분히 명확해야 합니다. 예를 들어, 대부분의 시스템에서는 로그인에 사용된 사용자 이름이 고유합니다. 그런 시스템에서는 사용자가 로그인하고자 하는 계정을 시스템이 유일하게 식별할 수 있도록 사용자 이름만 제공하면 됩니다.
3. 로그인 양식 제출
   브라우저/클라이언트는 2단계에서 설명된 사용자의 정보를 포함하여 양식을 서버에 제출합니다.
4. 사용자 및 이메일 찾기
   서버는 데이터베이스에서 고유한 사용자를 찾아 사용자의 연관된 이메일 주소를 검색합니다.
5. 매직 링크가 포함된 이메일 발송
   서버는 사용자에게 매직 링크가 포함된 이메일을 발송합니다. 이 이메일은 인증 (Authentication)을 위한 매직 링크를 포함하고 있습니다.
6. 사용자가 매직 링크 접속
   사용자는 이메일을 수신하고, 그 안에 제공된 매직 링크를 클릭합니다.
7. 매직 링크로 GET 요청 전송
   브라우저/클라이언트는 매직 링크 URL을 사용하여 서버에 GET 요청을 전송합니다.
8. 요청 검증
   서버는 매직 링크가 유효하며 사용되지 않았고 만료되지 않았는지 확인합니다.
9. 액세스 토큰 발급 및 발행
   요청이 검증되면, 서버는 액세스 토큰을 생성하여 브라우저/클라이언트에 발행합니다.
10. 접근 허가
    브라우저/클라이언트는 액세스 토큰을 수신하고 사용자가 요청한 리소스에 접근할 수 있도록 합니다.

매직 링크 (Magic Link)의 이점은 무엇인가?

매직 링크는 토큰 기반 상호작용 모델을 사용하여 인증 (Authentication) 시스템의 보안 아키텍처를 강화합니다. 각 링크는 고유하게 암호화되어 있으며, 일반적으로 만료 타임스탬프를 포함하고 있습니다. 이들의 일시적인 특성 때문에, 매직 링크가 가로채기나 유출되더라도 짧은 유효성 시간은 악의적인 악용의 기회를 제한합니다.

게다가, 매직 링크를 사용하는 것은 신뢰할 수 있는 이메일 주소나 전화번호 등 사용자가 제어하는 수신 방법을 요구하기 때문에, 사용자 이름과 비밀번호 외에 추가적인 검증 방법을 제공하여 추가 계정 보안을 제공합니다. 그리고 매직 링크는 자격 증명을 입력할 필요가 없으므로, 사용자 계정 보안이 더욱 보호되고, 과정이 보다 편리합니다.