X(트위터)에서 auth_token과 ct0의 실제 역할

X에 연결하는 도구를 설정 중인데, 양식에 사용자 이름과 비밀번호가 아니라 브라우저 개발자 도구에서 복사한 auth_token과 ct0이라는 두 문자열을 요구합니다. 누군가 만들어 낸 임시방편처럼 보입니다.

하지만 그렇지 않습니다. 이는 여러분이 x.com을 열 때마다 브라우저가 이미 사용하는 것과 동일한 메커니즘입니다. 다시 로그인하라는 요청을 받지 않는 이유죠. 이 두 가지를 이해하면 도구가 합리적인 요청을 하는지 판단하기 훨씬 쉬워지고, 값을 확보한 후 얼마나 주의 깊게 보호해야 하는지도 알 수 있습니다.

두 개의 쿠키, 각각은 혼자서는 쓸모없음

비밀번호로 로그인하면 X는 여러 쿠키를 설정하여 다음 페이지 로드 시 다시 묻지 않도록 합니다. 그중 두 개가 핵심 역할을 합니다.

auth_token은 신원입니다. 이 브라우저가 어떤 계정에 로그인되어 있는지를 나타내며, 가장 중요한 것입니다. 이 값을 가진 사람은 누구나 로그인 상태를 가질 수 있습니다.

ct0는 사이트 간 요청 위조 토큰입니다. 여기에는 신원 정보가 전혀 포함되어 있지 않습니다. 쓰기 작업에 존재하고 일치해야 하는 역할을 하여, 다른 웹사이트가 로그인된 브라우저를 조용히 조작해 무언가를 게시하지 못하게 합니다.

따라서 auth_token만으로는 신원을 증명할 수 있지만 쓰기 작업을 통과시키지 못합니다. ct0만으로는 의미가 없습니다. 도구가 계정에 로그인된 탭처럼 작동하려면 두 가지가 모두 필요하며, 그래서 도구가 이 두 가지를 요구하는 것입니다.

유효 기간, 그리고 왜 우리가 알려드리지 않는지

가이드에서는 이에 대한 확신 있는 기간을 제시합니다. 하나는 몇 달, 다른 하나는 몇 시간 또는 며칠이라고 합니다. 이 페이지의 이전 버전도 마찬가지였습니다.

그 어느 것도 공식적으로 발표된 것이 아닙니다. 이는 비공개 플랫폼의 내부 구현 세부 사항이며, X의 도움말 페이지는 자동 요청을 거부하므로 우리가 읽을 수 없고, 유통되는 모든 수치는 제3자 도구 문서가 다른 제3자 도구 문서를 반복한 것에서 비롯됩니다. 확인할 수 없는 숫자는 숫자가 없는 것보다 나쁩니다. 확인을 중단하라고 안내하기 때문입니다.

좋은 소식은 누구의 추정치도 필요하지 않다는 것입니다. 쿠키에는 자체 만료일이 포함되어 있고 브라우저가 표시해 주기 때문입니다. 개발자 도구를 열고 Application 또는 Storage 탭으로 이동해 Cookies를 찾아 x.com을 선택하고 해당 행의 Expires 열을 읽으세요. 그것이 오늘, 실제 세션에 대한 실제 답변입니다. 인터넷의 모든 수치보다 낫습니다. 여기에 인쇄했을 수 있는 어떤 숫자보다도요.

도구가 비밀번호 대신 쿠키를 요구하는 이유

실용적인 이유이지, 불길한 이유가 아닙니다. 쿠키 가져오기는 세션이 끝날 때마다 다단계 로그인을 반복하지 않아도 되고, 2단계 인증이 활성화된 계정에서도 작동합니다. 쿠키는 이미 2차 인증을 통과한 세션을 나타내기 때문입니다. 여러 계정을 하나의 도구로 운영하는 경우 반복 작업이 크게 줄어듭니다.

그 대가도 분명히 인정해야 합니다. 비밀번호는 변경하면 그걸로 끝입니다. 유출된 auth_token은 그 세션이 살아 있는 동안 소유자에게 여러분과 동일한 접근 권한을 부여하며, 비밀번호가 필요 없고 2차 인증도 거치지 않습니다. 쿠키가 생성될 때 이미 2차 인증이 충족되었기 때문입니다.

비밀번호 로그인과 쿠키 로그인, 정직한 비교

어느 쪽이 자동으로 올바른 것은 아닙니다. 무엇을 하고 있는지, 요청하는 대상을 얼마나 신뢰하는지에 달려 있습니다.

• 설정 반복 노력. 비밀번호 및 2차 인증: 느리고 반복됩니다. 쿠키 가져오기: 값을 확보하면 더 빠릅니다.
• 접근 차단 다시 하기. 비밀번호: 그 자체로는 불가능, 아래 참조. 쿠키: 세션 목록에서 세션을 종료합니다.
• 가로채인 경우. 비밀번호: 2차 인증이 보통 사용을 막습니다. 쿠키: 즉시 단독으로 작동합니다.
• 적합한 용도. 비밀번호: 일상적인 수동 사용. 쿠키: 조사한 도구를 계속 사용하려는 경우.

대부분이 지나치는 세 번째 옵션이 있으며, 장기 실행 작업에는 이것이 올바른 선택입니다. X의 공식 개발자 흐름을 통해 승인된 애플리케이션은 자체 권한을 보유합니다. 브라우저 세션에 의존하지 않으므로 일반적인 보안 정리로 인해 중단되지 않으며, 다른 것에 영향을 주지 않고 개별적으로 끌 수 있습니다. 우리의 X 선반에서도 이는 더 드물고 저렴한 형식입니다. 공식 인증 흐름으로 태그된 목록은 약 13개 중 1개이며, 중간 가격의 약 5분의 2 수준입니다.

토큰 폐기, 그리고 모두가 틀리는 부분

비밀번호를 변경하면 이전 세션 쿠키가 무효화되므로 비밀번호 변경이 비상 정지 수단이라는 말이 널리 퍼져 있으며, 이 페이지의 이전 버전도 그렇게 말했습니다.

그것에 의존하지 마세요. X는 우리가 읽을 수 있는 어떤 입장도 발표하지 않았으며, 2022년 9월 Twitter는 자발적 비밀번호 변경이 다른 기기의 세션을 종료하지 않았다는 사실을 공개했습니다. 이 버그는 수정되기 전 몇 달 동안 지속되었습니다. 오늘날의 동작이 어떻든, 효과를 확인할 수 없는 통제 수단은 비상 정지가 아닙니다.

실제로 작동하는 조치는 명확하며 설정에 있습니다: Security and account access, 그다음 Apps and sessions, 그다음 Sessions. 다른 모든 세션에서 로그아웃하세요. 해당 세션에서 생성된 모든 쿠키는 다른 사람이 복사한 것을 포함해 함께 소멸합니다. 원한다면 비밀번호도 변경하세요. 하지만 세션 목록이 실제로 작동하는 것입니다. 전체 절차와 방금 인수한 계정에서 특정 순서로 수행해야 하는 이유는 잠기지 않고 X 비밀번호 변경하기에 있습니다.

값 처리, 사용할 예정이라면

문자열을 비밀번호처럼 취급하세요. 기능적으로 동일하기 때문입니다. 조사한 도구에만 붙여넣으세요. 스크린샷을 찍지 말고, 채팅이나 티켓에 넣지 말고, 클라우드 저장소와 동기화되는 텍스트 파일에 남기지 마세요. 도구를 신뢰하지 않게 되면 도구를 제거하는 대신 세션을 종료하세요. 도구를 삭제해도 도구가 만든 복사본은 삭제되지 않기 때문입니다.

계정에 토큰 파일이 포함된 경우

많은 목록이 토큰 파일을 제공하며, 우리 선반에서는 이국적인 형식이 아니라 일반적인 형식입니다. 활성 X 목록의 약 3분의 1 미만이 쿠키 포함으로 태그되어 있습니다. 특히 이들은 선반 중간값보다 비싸지 않고 약 5분의 4 수준으로 저렴합니다. 이는 시장이 제공된 토큰을 자산이 아닌 편의로 취급한다는 것을 보여줍니다.

편의로 가격이 책정된 이유가 주의해야 할 이유입니다. 판매와 함께 도착한 토큰은 최소 한 명의 다른 사람이 보았으며, 같은 배치를 받은 모든 사람이 보았을 수도 있습니다. 공유 자격 증명으로 간주하세요. 실제로 그렇기 때문입니다.

그러니 그것으로 로그인한 후 사용을 중단하세요. 로그인하고, 다른 모든 세션에서 로그아웃하고, 계정에 복구 이메일과 전화번호를 설정한 다음에만 비밀번호를 변경하세요. 받은 토큰은 세션 단계에서 작동을 멈추며, 그것이 원하는 결과입니다. 이후 자신의 로그인된 브라우저에서 새 토큰을 생성하는 데 1분이 걸립니다.

판매자가 토큰 인계에 대해 공개하는 내용은 매우 다양하며, 그래서 첫 번째 목록을 선택하기보다 비교하는 것이 가치가 있습니다. 전체 X 계정 목록 페이지에서 각각의 내용을 확인할 수 있습니다.

중요한 작업에 쿠키 로그인을 의존하기 전에

• 두 값이 각각 무엇을 하는지 알고 있으며, 단지 쌍이 작동한다는 것만 아는 것이 아닙니다
• 가이드의 숫자를 믿는 대신 브라우저에서 실제 만료일을 확인했습니다
• 도구에 실적이 있거나 공식 인증 흐름을 지원합니다
• 구매와 함께 온 토큰은 다른 모든 세션에서 로그아웃하여 폐기했습니다
• 원시 값이 채팅 로그, 스크린샷 또는 동기화 텍스트 파일에 남아 있지 않습니다
• 세션 목록의 위치를 알고 있습니다. 급할 때 필요하기 때문입니다

X의 자체 도움말 페이지는 지원되는 로그인 방법에 대한 공식 참조입니다. 우리는 여기서 읽을 수 없으므로 요약해 드리지 않겠습니다.