쿠키와 세션

🌆│Web_Study/🥊│pentestgym

쿠키와 세션

Jastes 2023. 5. 27. 00:10

💡해당 내용은 pentestqym의 내용을 다시 한 번 정리한 내용이며,
모든 저작권은 해당 사이트에게 있습니다.

쿠키(Cookie)란?

쿠키는 웹 서버가 생성하여 웹 브라우저로 전송하는 작은 정보 파일입니다. 웹 브라우저는 쿠키를 일정 기간 동안 저장하거나 사용자 세션 동안 유지합니다. 쿠키는 웹 사이트에 사용자 정보를 제공하여 개인화된 경험을 제공하는 데 사용됩니다.

쿠키란 사용자가 웹사이트에 방문할 때 클라이언트측에 저장되는 key=value쌍의 문자열로 구성된 작은 임시 파일

예를 들어, 전자상거래 사이트에서는 쿠키를 사용하여 사용자의 장바구니 정보를 유지합니다. 쿠키는 인증에 필요한 보안 쿠키와 같이 보안을 위해 사용되기도 합니다.

쿠키는 HTTP 프로토콜의 비상태성 특징으로 인해 사용자의 연속된 요청을 식별하거나 사용자의 상태를 기억하기 위해 사용됩니다. 쿠키는 민감하지 않은 서비스 제공을 위해 사용되는 데이터뿐만 아니라 사용자 인증에도 사용됩니다. 그러나 쿠키는 공격자의 공격 대상이 될 수 있으므로 주의가 필요합니다.

쿠키의 용도

웹 사이트의 용도에 따라 달라지는 편이지만 일반적으로 사용자의 상태 데이터를 기억하여 아래와 같은 목적을 달성하기 위해 사용됩니다.

세션 관리 : 사용자를 식별하고 사용자의 로그인 정보를 기억
개인화 : 사용자별 맞춤형 광고나 웹 환경 설정 등과 같이 웹 사용에 있어 환경 개인화에 사용됨
사용자 활동 추적 : 사용자의 웹사이트 사용 패턴이나 검색 습관 등을 추적하고 분석하여 사용자가 선호할만한 다른 컨텐츠를 제안

쿠키의 유형

쿠키의 라이프사이클(Lifecycle)의 관점에서 봤을 때 다음의 두 가지 유형이 있습니다.

1. 세션 쿠키(Session Cookie)

웹 브라우저가 종료될 때까지만 유효한 쿠키
사용자의 세션을 유지하기 위해 사용되며, 일반적으로 인증 정보 등의 임시 데이터 저장함
웹 브라우저를 닫으면 세션 쿠키는 삭제되므로 재사용 불가
보안상의 이유로 일반적으로 사용자의 로그인 세션을 유지에 사용됨

2. 영구 쿠키(Persistent Cookie)

미리 설정한 유효 기간 동안 웹 브라우저에 저장되는 쿠키
사용자의 로그인 상태 유지, 개인화된 설정, 선호하는 언어 등을 기억하기 위해 사용됨
웹 브라우저를 닫아도 쿠키는 유지되어 재사용됨(확장자 느낌)
브라우저의 설정 또는 쿠키의 유효 기간을 설정하여 사용자에게 선택적으로 삭제가

쿠키 발급 방법

쿠키는 클라이언트의 HTTP 요청을 수신한 서버가 응답을 회신할 때 Set-Cookie 응답 헤더를 통해 발급됩니다.

Set-Cookie: Cookie-name=Some-Value;

또한, Set-Cookie 헤더는 다음의 속성들을 통해 웹 브라우저가 쿠키를 처리하는 방법을 제어할 수 있습니다.

Set-Cookie 속성과 속성별 예시

1. 이름과 값 설정 : 쿠키의 이름과 해당하는 값 설정
name

Set-Cookie: name=value

2. 유효 기간 설정 : 쿠키의 유효 기간을 설정하여 만료일을 지정
expires

Set-Cookie: name=value; expires=Sat, 01 Jan 2023 00:00:00 GMT

3. 도메인 제한 : 쿠키를 특정 도메인 또는 하위 도메인에 제한하여 전송
domain=

Set-Cookie: name=value; domain=.example.com

4. 경로 제한 : 쿠키를 특정 경로에 제한하여 해당 경로에서만 전송
path

Set-Cookie: name=value; path=/path

5. 보안 설정_1 : 안전한 연결(HTTPS)에서만 전송(se..), JavaScript에 의한 접근을 제한(Ht..)
secure(암호화된 연결인 경우에만 쿠키를 전송, 별도 값 X), HttpOnly

Set-Cookie: name=value; secure; HttpOnly
Set-Cookie: name=value; Secure

6. 보안 설정_2 : 쿠키의 보안과 개인 정보 보호를 강화하기 위해 사용되는 속성
SameSite

SameSite=None: 이 값을 설정하면 쿠키는 모든 요청에서 브라우저로 전송

Secure 속성과 함께 사용되어야 하며, HTTPS 연결에서만 쿠키가 전송함

SameSite=Strict: 이 값을 설정하면 쿠키는 동일한 사이트에서의 요청에만 브라우저로 전송

쿠키를 사용하여 사이트 간 요청 위조(CSRF) 공격을 방지하는 데 도움

SameSite=Lax: 이 값은 일부 제한적인 상황에서만 쿠키를 브라우저로 전송

외부 사이트로의 POST 요청에는 쿠키가 전송되지 않지만, 탐색(브라우저 주소 표시줄을 통한 GET 요청)은 쿠키가 전송

Set-Cookie: name=value; SameSite=Strict
Set-Cookie: name=value; SameSite=None; Secure
Set-Cookie: name=value; SameSite=Lax

7. 쿠키 삭제 : 쿠키를 삭제하기 위해 만료일을 과거로 설정

Set-Cookie: name=; expires=Thu, 01 Jan 1970 00:00:00 GMT

서버에 의해 발급된 쿠키는 응답 헤더의 Set-Cookie를 통해 클라이언트에 저장되며, 클라이언트는 이후 요청 시 저장된 쿠키를 자동으로 서버로 전송합니다. 서버는 전송된 쿠키값을 사용하여 사용자를 식별하고 상태를 확인합니다.

일반적으로 클라이언트가 서버에 요청한 정보(로그인, 데이터 목록 등)을 효과적으로 관리하기 위해 서버는 클라이언트에게 쿠키를 제공하거나 전달(POST)합니다.

클라이언트는 이후 해당 정보를 사용하기 위해 쿠키를 서버에게 전달(GET)하여 데이터를 받는 형식으로 진행됩니다. 이를 통해 클라이언트는 서버로부터 발급받은 쿠키를 사용하여 인증, 세션 유지, 상태 관리 등을 수행하게 됩니다.

세션(Session)

앞에서 살펴본 쿠키는 보안적으로 클라 측에서 조작이 가능하여 취약하다고 배웠습니다. 그럼 세션은 어떨까요?

세션은 사용자와 웹 서버 간의 연결을 유지하여 사용자의 상태 데이터를 저장하고 추적하는 기술입니다. 세션은 클라이언트의 요청과 서버의 응답을 통해 식별자인 세션 ID를 생성하고, 이 세션 ID를 사용하여 서버에 상태 데이터를 저장합니다. 세션은 클라이언트 측에 저장되는 쿠키와는 달리, 서버 측에 저장되고 관리되는 점이 큰 차이점입니다. 이를 통해 웹 사이트는 사용자의 상태를 추적하고 개별적으로 관리할 수 있습니다.

세션 상태 관리

서버가 세션을 통해 상태 정보를 유지하기 위해 사용되는 기술은 크게 아래와 같습니다.

1. 세션 식별자

클라 측과 서버 간의 세션을 구분하는 고유한 값

세션 식별자는 일반적으로 쿠키, URL 재작성, 숨겨진 폼 필드 등 → 클라

2. 세션 데이터 저장소

서버는 클라이언트의 세션 상태 정보를 저장하기 위한 데이터 저장소

메모리: 서버의 메모리에 세션 데이터를 저장
- 이 방법은 속도가 빠르지만, 서버가 재시작되면 세션 데이터가 손실됨
데이터베이스: 세션 데이터를 데이터베이스에 저장
- 데이터베이스는 영구적이고 안정적인 데이터 저장소로 사용됨
파일 시스템: 세션 데이터를 파일로 저장하여 파일 시스템에 보관함
- 일반적으로는 임시 폴더에 파일을 생성하여 사용됨

3. 세션 유지 및 만료

클라이언트 → 서버 세션을 확인하고 유지함

세션은 일정 시간 동안 유효하며, 클라는 일정 시간 동안 요청을 보내지 않으면 세션은 만료되며, 세션 만료 시 클라이언트는 다시 인증을 수행함

4. 세션 관리

세션 관리는 세션 생성, 삭제, 갱신 등의 작업을 포함됨.

서버는 새로운 세션을 생성하고 세션 데이터를 저장하며, 세션 만료 시 세션을 삭제하고, 클라의 요청에 따라 세션을 갱신/재생성 함

위의 기술들을 조합하여 서버는 세션을 통해 상태 정보를 유지하고 클라이언트의 요청에 따라 적절한 세션 데이터를 사용하여 개인화된 서비스를 제공할 수 있습니다.

세션은 안전할까?

세션은 클라이언트의 상태 데이터가 서버에 저장되기 때문에 쿠키에 비해 상대적으로 안전하다고 할 수 있습니다. 그러나 세션 토큰이 공개적으로 노출되거나 예측 가능한 경우 위험!, 공격자는 해당 토큰을 직접 사용하거나 다른 사용자의 세션을 위장할 수 있습니다.