원문 소식, 쉽게 읽기
GitHub가 Desktop 3.6.10 이상에서 로그인하는 일부 계정에 짧은 수명의 인증 토큰을 제공하기 시작했다. GitHub.com과 GitHub Enterprise Cloud에 순차 적용하며, GitHub Enterprise Server는 이번 대상에서 제외한다. 버전을 올린 기존 이용자와 새로 로그인한 이용자의 적용 상태가 다를 수 있다. 출처
인증 토큰은 앱이 계정의 권한으로 요청을 보낼 때 쓰는 자격 증명이다. 이번 변화는 이 자격 증명이 유효한 기간을 짧게 두는 방식이다. GitHub는 유출된 토큰을 악용할 수 있는 시간을 줄이는 효과를 설명했다. 발표에는 토큰이 몇 시간 뒤 만료되는지, 보안 사고가 얼마나 감소했는지에 대한 수치는 없다. 출처
짧은 수명과 자동 갱신은 서로 연결된다. Desktop은 GitHub와 정보를 주고받는 API 요청이나 Git 작업에 사용할 토큰을 자동으로 갱신한다. API는 앱끼리 요청을 주고받는 인터페이스이고, Git 작업은 변경 내용을 원격 저장소로 보내거나 가져오는 등의 버전 관리 작업이다. 이용자가 일상적인 작업 중 토큰을 직접 반복 발급하는 부담을 줄이는 설계다. 출처
적용 여부를 가르는 조건은 버전, 순차 배포, 로그인 시점이다. 설치된 앱에 배포가 도달한 상태에서 로그인할 때 새 토큰이 발급된다. 업데이트 전부터 로그인한 세션은 업데이트 후에도 유지되고, 기존 토큰은 자동으로 새 방식으로 바뀌지 않는다. 출처
가령 같은 최신 버전으로 업데이트한 두 사람이 있다고 가정하자. 한 사람은 기존 로그인을 유지하고, 다른 사람은 배포 대상이 된 설치 환경에서 새로 로그인한다. 발표 조건에 따르면 전자는 기존 토큰이 자동 전환되지 않고, 후자는 로그인 때 새 토큰을 받을 수 있다. 출처
공식 인증 문서는 macOS에서는 GitHub Desktop의 Settings, Windows에서는 File의 Options에서 Accounts 화면으로 들어가 브라우저를 통해 인증하도록 안내한다. 2단계 인증을 설정한 계정은 브라우저에서 해당 절차를 마친다. 이 문서는 로그인 경로를 설명하며, 이번 발표의 버전·순차 배포·계정 조건도 함께 적용해 읽어야 한다. 출처 · 출처
OYOPICK의 시선
이번 변화에서 눈여겨볼 부분은 토큰의 유효기간을 줄이면서 갱신은 앱이 맡도록 했다는 조합이다. 유출된 자격 증명의 사용 시간을 제한하는 목적과 이용자의 반복 작업을 줄이려는 설계가 맞물린다. 실제 효과의 크기를 판단하려면 앞으로의 운영 결과가 더 필요하지만, 보안 개선을 일상적인 작업 흐름에 녹이려는 방향은 반길 만하다. 출처
다만 업데이트와 인증 방식 전환이 별개라는 점은 이용자가 놓치기 쉽다. 기존 로그인이 유지되는 조건을 고려하면 버전 번호만으로 자신의 토큰 상태를 판단하기 어렵다. 배포가 진행되는 동안 현재 적용 여부와 새 발급 조건을 앱에서 분명하게 안내해 주기를 바란다. 출처