비밀번호, 토큰, 세션, OAuth2: 리스팅에서 이 단어들이 의미하는 것

목록은 개발자 문서에서 가져온 단어들로 무엇을 받게 될지 설명합니다: 토큰, 세션, OAuth2. API를 다뤄본 사람이라면 누구나 이 세 가지를 만나봤을 텐데, 문제는 바로 여기에 있습니다. 목록에서는 각각이 원래 문서에서 쓰일 때보다 더 좁고 구체적인 의미를 갖기 때문입니다.

이걸 잘못 이해하는 것은 여기서 가장 비용이 큰 실수입니다. 형식이 맞지 않으면 부분적인 손실이 아니라 대개 완전한 손실이 되기 때문입니다. 계정이 설명과 정확히 일치해도 구매 목적에는 쓸 수 없을 수 있습니다.

비밀번호만

받게 되는 것: 식별자와 비밀번호. 그 외에는 없습니다.

숨은 의미가 없는 유일한 형식이며, 여기에 포함되지 않는 것이 무엇인지 주목할 필요가 있습니다. 2차 인증이 없는데, 이는 양날의 검입니다: 바로 자신만의 것으로 설정할 수 있는 반면, 같은 자격 증명을 가진 다른 누구도 그렇게 할 수 있습니다. 원래 등록자에게 여전히 복구 경로가 있다면, 비밀번호는 당신이 가질 수 있는 가장 약한 위치입니다. 복구 절차가 재설정하도록 설계된 바로 그 것이기 때문입니다.

가끔 로그인하기에는 괜찮습니다. 계속 유지하려는 용도에는 좋지 않은 선택입니다.

비밀번호 + 2차 인증

받게 되는 것: 위의 것에 더해, 두 번째 단계를 충족시키는 무언가. 그리고 여기서 목록들이 서로 꽤 다른 세 가지를 한 단어로 압축합니다.

• 공유 비밀(인증 앱 뒤에 있는 시드)은 코드를 무기한 직접 생성할 수 있게 해줍니다. 이것이 강력한 버전입니다.
• 백업 코드 목록은 유한한 횟수의 일회용입니다. 다 소진하면 그때까지 대체 요소를 설정하지 않는 한 잠깁니다.
• 클라우드 비밀번호(텔레그램이 사용하는)는 회전하지 않는 고정 문자열입니다.

목록에 물어봐야 할 질문은 세 가지 중 어떤 것을 받는지입니다. "2FA 포함"은 모두를 포괄하지만 동등하지 않기 때문입니다. 재생성할 수 없는 2차 인증은 보안 기능이 아니라 카운트다운입니다.

토큰 또는 API 키

받게 되는 것: 플랫폼이 발급한 자격 증명 문자열로, 보통 비밀번호는 함께 제공되지 않습니다.

여기에 개발자 의미와의 차이가 있습니다. API 문서에서 토큰은 일반적으로 직접 생성하고 원할 때 다시 생성할 수 있는 것입니다. 목록에서는 이미 존재하고, 당신이 만들지 않았고, 일반적으로 갱신할 수 없는 자격 증명입니다. 만료되거나 취소되면 사라지며, 기본 비밀번호가 없으면 의지할 것이 없습니다.

두 번째 차이도 마찬가지로 중요합니다: 토큰은 보통 일반 웹 인터페이스를 통해 로그인하는 데 사용할 수 없습니다. 로그인해서 둘러보는 것을 계획했다면, 토큰은 아무리 유효해도 그런 기능을 하지 않습니다.

세션 파일

받게 되는 것: 이미 완료된 로그인을 나타내는 데이터(예: 텔레그램 TDATA 폴더, .session 파일, 웹 플랫폼의 브라우저 쿠키).

구매 시 거의 아무도 생각하지 않는 중요한 속성: 세션은 복사본이며, 복사본은 서로를 배제하지 않습니다. 여러 사람이 동시에 같은 세션을 보유하고 모두 로그인된 상태일 수 있습니다. 받았다는 사실만으로는 다른 사람이 여전히 그것을 가지고 있는지 알 수 없습니다.

알아내는 유일한 방법은 들어간 후 플랫폼의 승인된 기기 또는 활성 세션 목록을 확인하고, 인식하지 못하는 것을 종료하는 것입니다. 이를 선택적 보안 단계가 아니라 상품 수령의 일부로 취급하고, 불만을 제기할 시간이 있을 때 하십시오.

OAuth2

받게 되는 것: 리프레시 토큰과 그것이 발급된 클라이언트 ID 및 시크릿.

이 형식은 불완전함이 가장 흔하고 가장 눈에 띄지 않는 형식입니다. 리프레시 토큰은 새 액세스 토큰과 교환하기 위해 존재하지만, 교환에는 그것이 발급된 클라이언트 자격 증명이 필요합니다. 그것 없이 리프레시 토큰만 받으면, 현재 액세스 토큰이 만료될 때까지 작동하다가 영원히 멈추는 문자열을 가진 것입니다.

전달 시 모든 것이 정상으로 보이는데, 그것이 바로 문제입니다. 확인해야 할 것은 "지금 작동하는가"가 아니라 "리프레시를 수행할 수 있는가"이며, 이는 다른 테스트입니다. 두 번째를 하십시오.

시장이 형식을 어떻게 가격 매기는지, 일관성이 없습니다

알아두면 좋은 이유는 협상할 가치가 있는 곳에 영향을 미치기 때문입니다:

• 텔레그램에서는 형식에 가격이 전혀 매겨지지 않습니다. TDATA, 세션, JSON 목록이 같은 수준이므로 잘못된 것을 받아들일 이유가 없습니다.
• 일부 사서함 선반에서는 프로토콜 접근이 측정된 속성 중 가장 저렴하며 사실상 무료인 반면, 검증 속성은 중간 가격의 거의 두 배입니다. "내 도구가 연결할 수 있는" 것을 최적화하는 구매자는 무료 축을 최적화하는 것입니다.
• 한 사서함 선반에서는 같은 프로토콜 속성이 중간 가격의 거의 두 배이며, 그 역전이 나타나는 유일한 곳입니다. 카테고리 관행은 이전되지 않습니다.

그래서 유용한 일반화는 일반화가 없다는 것입니다. 실제로 구매하는 선반에서 형식의 가격을 읽으십시오.

어떤 실수에서 회복할 수 있는지

카탈로그 전체에서 전달은 즉시 이루어지고 중간 보증 기간은 12시간이므로, 아래의 모든 확인은 즉시 가능하며 나중에는 아무것도 가능하지 않습니다.

• 회복 가능: 도구가 읽을 수 없는 형식을 받은 경우, 기간 내에 알아차린다면. 목록에 대한 명확하고 사실적인 불일치입니다.
• 확인하면 회복 가능: 다른 사람이 여전히 보유한 세션이지만, 가정하지 않고 기기 목록을 확인하는 경우에만.
• 보통 회복 불가: 클라이언트 자격 증명이 없는 OAuth2 리프레시 토큰, 현재 액세스 토큰이 작동하는 것만 테스트했다면. 실패할 때쯤이면 기간은 이미 오래 지났습니다.
• 전혀 회복 불가: 소진된 백업 코드. 잘 끝나는 버전이 없으며, 이것이 어떤 종류의 2차 인증을 받았는지 식별하는 것이 목록의 맨 위에 있어야 하는 이유입니다.

이에 대한 텔레그램 특화 버전은 TDATA와 세션 파일을 자세히 다루며 그 선반에 대해 더 깊이 들어갑니다. 구매 전 체크리스트는 이러한 형식과 관련된 확인 사항을 다룹니다.