PAR (Pushed Authorization Requests)

개요

PAR(Pushed Authorization Requests)은 OAuth 2.0 프레임워크의 확장 규격으로, 클라이언트가 사용자 인증 요청 정보를 직접 Authorization Server로 안전하게 전송하도록 설계된 보안 프로토콜입니다. 이를 통해 인증 요청 파라미터가 브라우저를 거치지 않기 때문에, 민감 정보 노출과 변조 위험을 최소화합니다.

---

1. 개념 및 정의

항목	내용	비고
정의	클라이언트가 사용자 인증 요청을 사전에 서버로 푸시(Push)하는 방식의 OAuth 확장 프로토콜	RFC 9126 표준
목적	인증 요청 시 브라우저를 통한 정보 노출 방지	보안 강화형 OAuth 2.0 구성요소
필요성	URL 기반 요청의 보안 취약점 해결	민감 데이터 보호 및 무결성 확보

---

2. 특징

항목	내용	비고
서버 간 직접 통신	클라이언트 → Authorization Server 간 요청 전송	브라우저 중간 노출 방지
요청 파라미터 보호	민감한 scope, redirect_uri 등 안전 전송	OAuth Client 인증 필요
Request URI 발급	서버가 요청 토큰(request_uri)을 발급하여 이후 인증 플로우 사용	일회성 고유 토큰 방식
기존 OAuth 호환	기존 Authorization Code Flow에 통합 가능	하위 호환성 유지

PAR은 OAuth 2.0의 보안성을 강화하는 최신 인증 요청 표준입니다.

---

3. 동작 과정

단계	설명	주요 요소
1단계	클라이언트가 Authorization Server에 인증 요청 파라미터 전송	Client Authentication 수행
2단계	Authorization Server가 요청을 검증하고 request_uri 발급	짧은 만료시간 설정
3단계	클라이언트가 request_uri를 이용해 Authorization Endpoint 호출	사용자 인증 수행
4단계	사용자 동의 후 Access Token 발급	기존 OAuth Flow와 동일

이 프로세스는 인증 요청을 안전하게 서버 간 교환 방식으로 처리합니다.

---

4. 기술 요소

기술 요소	설명	비고
OAuth 2.0 Framework	PAR은 OAuth 2.0의 확장 기능으로 정의	RFC 6749 기반
Client Authentication	클라이언트 자격 증명(Client ID/Secret, mTLS 등) 필수	강력한 인증 요구
request_uri	PAR 요청 시 서버가 발급하는 고유 URI	인증 요청의 참조 키 역할
JWT(JWS)	일부 구현은 서명 기반 요청 검증에 사용	무결성 강화

PAR은 FAPI(Financial-grade API) 표준의 핵심 보안 구성요소입니다.

---

5. 장점 및 이점

장점	설명	기대 효과
민감 데이터 보호	인증 요청 시 URL 노출 차단	개인정보 유출 위험 최소화
무결성 확보	요청 파라미터 위변조 방지	요청 신뢰성 향상
강력한 인증 구조	클라이언트 인증 필수화	피싱 및 위조 요청 차단
규제 준수	FAPI, Open Banking 등 글로벌 표준 지원	금융권 인증 시스템 채택

PAR은 특히 금융 API와 OpenID Connect 환경에서 보안 강화를 위해 필수적으로 도입됩니다.

---

6. 주요 활용 사례 및 고려사항

사례	설명	비고
Open Banking API	은행 간 OAuth 인증 요청 시 PAR 적용	PSD2 규제 대응
FAPI 표준	금융 데이터 접근 시 안전한 요청 관리	Financial-grade API 핵심 요소
IDaaS (Identity as a Service)	인증 플랫폼의 사용자 로그인 요청 보호	B2B 클라우드 인증 환경
클라우드 SSO	민감 Scope 포함한 로그인 요청 보안 강화	Azure AD, Okta 등 적용

도입 시 Authorization Server의 PAR Endpoint 구현과 Client 인증 정책 설정이 필요합니다.

---

7. 결론

PAR(Pushed Authorization Requests)은 OAuth 2.0의 보안성을 극대화하는 핵심 기술로, 민감한 인증 요청 정보를 브라우저 노출 없이 안전하게 전송하는 표준 방식입니다. 특히 금융, 공공, 클라우드 인증 시스템에서 PAR은 보안 인증의 기본 구성요소로 자리잡고 있으며, FAPI와 함께 차세대 OAuth 2.0 보안 프레임워크의 핵심 역할을 수행합니다.