fix: Apple ID 토큰 서명 검증 누락 취약점 수정

[unam98]

취약점

AppleSignInService.getSocialInfo()가 클라이언트가 보낸 Apple ID 토큰(idToken)을 SignedJWT.parse()로 파싱만 하고 암호학적 서명 검증을 한 번도 수행하지 않고 있었음.

검증 로직은 iss(발급처)/aud(대상)/exp(만료시간)/email_verified 클레임 값만 확인했는데, 서명 검증이 없으면 이 값들은 클라이언트가 3-segment 구조만 맞춰서 임의로 채울 수 있음. 즉 실제 Apple 로그인 없이도 POST /api/auth에 provider=APPLE과 함께 위조 토큰을 보내면 정식 유저 생성/조회 + accessToken·refreshToken 발급이 그대로 통과하는 상태였음.

수정

Apple의 공개키(JWKS, https://appleid.apple.com/auth/keys)로 RS256 서명을 검증하도록 변경. 이미 의존성에 있는 nimbus-jose-jwt의 JWSVerificationKeySelector + RemoteJWKSet + DefaultJWTProcessor를 사용해, 서명이 유효한 토큰에서만 클레임을 신뢰하도록 함 (새 의존성 추가 없음).

서명 검증 실패(BadJOSEException), JWKS 조회 실패(JOSEException), 파싱 실패(ParseException) 모두 기존과 동일하게 INVALID_APPLE_ID_TOKEN_EXCEPTION으로 처리.

발견 경위

부하테스트용 JWT 발급 방법을 조사하던 중 발견함 (Google/Kakao 로그인은 각각 GoogleIdTokenVerifier, 카카오 서버 API 호출로 정상 검증 중이며 이 이슈는 Apple 로그인 경로에만 해당).

테스트

./gradlew compileJava 성공 확인. (실제 Apple 기기로 로그인 재검증은 별도 필요)

[coderabbitai]

Important

Review skipped

Auto reviews are disabled on base/target branches other than the default branch.

Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: defaults

Review profile: CHILL

Plan: Pro Plus

Run ID: 44fb596e-3edd-4799-ba4f-2ccc8df25f81

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch fix/apple-jwt-signature-verification

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}