핵심 요약
구글이 DPoP를 활용한 Google OAuth 도입으로 Refresh Token의 발신자 제약을 적용하고 Infostealer 및 MITM 공격으로부터 보안을 강화했습니다. 장기 Refresh Token은 암호학적으로 바인딩하고 짧은 수명의 Access Token은 Bearer 토큰으로 유지해 보안과 API 성능 간 균형을 달성합니다. MCP 워크로드의 토큰 위임은 Google Cloud STS로 처리합니다.
구현 방법
- DPoP 기반 토큰 바인딩 도입
- 장기 Refresh Token 바인딩 + 짧은 Access Token 유지
- MITM/Infostealer 방어 및 QPS 오버헤드 최소화
- MCP 에이전트 체인 토큰 위임 STS 처리
주요 결과
- 보안 강화 및 토큰 위조 위험 감소
- MITM 대응력 향상
- 에이전트 체인 간 안전한 위임 지원
