CodeStates/Backend

Section3 / Unit7 : [Backend]쿠키/세션

yeeendy 2023. 7. 3. 13:21

Cookie

서버에서 클라이언트에 영속성 있는 데이터를 저장하는 방법

서버는 클라이언트의 쿠키를 이용하여 데이터를 가져올 수 있음

 

쿠키를 이용한다는 의미는?

→ 서버에서 클라이언트에 쿠키를 전송

→ 클라이언트에서 서버로 쿠키를 다시 전송

 

쿠키 특징

→ 서버가 클라이언트에 특정한 데이터를 저장할 수 있다.

→ 데이터를 저장한 이후 특정 조건들이 만족되어야 다시 가져올 수 있다.

*특정 조건 → http 헤더를 사용해 쿠키 옵션으로 표현

'Set-Cookie':[
            'cookie=yummy', 
            'Secure=Secure; Secure',
            'HttpOnly=HttpOnly; HttpOnly',
            'Path=Path; Path=/cookie',
            'Doamin=Domain; Domain=codestates.com'
        ]

 

쿠키 옵션 종류

  1. Domain
    • 서버에 접속할 수 있는 이름
    • 포트 및 서브 도메인 정보, 세부 경로 포함❌ (서브 도메인? www 같은 도메인 앞에 추가로 작성되는 부분)
    • ex) 요청해야 할 URL이 http://localhost.com:3000/users/login이라면 → domain : localhost.com
    • 쿠키 옵션에서 도메인 정보가 존재한다면?
      • 클라이언트에서 쿠키의 도메인 옵션과 서버의 도메인이 일치해야만 쿠키 전송 가능
  2. Path
    • 서버가 라우팅할 때 사용하는 경로, 세부 경로
    • ex) 요청해야 할 URL이 http://localhost.com:3000/users/login이라면 → path : /users/login
    • 세부 경로를 명시하지 않으면 기본적으로 /으로 설정
    • 특징
      • 설정된 경로를 포함하는 하위 경로로 요청을 하더라도 쿠키를 서버에 전송할 수 있음
      • ex) path가 /users로 설정되어 있고, 요청하는 세부 경로가 /users/codestates인 경우라면 쿠키 전송 가능
      • 하지만 /posts/codestates로 전송되는 요청은 path 옵션(/users)을 만족하지 못하기 때문에 서버로 쿠키 전송 X
  3. MaxAge or Expires
    • 쿠키가 유효한 기간을 정하는 옵션 (보안 측면에서 중요)
    • MaxAge : 쿠키가 유효한 시간을 초 단위로 설정하는 옵션
    • Expires : 언제까지 쿠키가 유효한지 심판의 날을 지정가능, 옵션의 값은 클라이언트의 시간을 기준
      → 이후 지정된 시간, 날짜를 초과하게 되면 쿠키는 자동으로 파괴됨
    • 세션 쿠키
      • MaxAge 또는 Expires 옵션이 없는 쿠키
      • 브라우저가 실행 중일 때 사용할 수 있는 임시 쿠키
      • 브라우저를 종료하면 해당 쿠키는 삭제
    • 영속성 쿠키
      • 브라우저의 종료 여부와 상관없이 MaxAge 또는 Expires에 지정된 유효시간만큼 사용가능한 쿠키
  4. Secure
    • 사용하는 프로토콜에 따른 쿠키의 전송 여부를 결정하는 옵션
    • Secure 옵션이 true로 설정된 경우 HTTPS를 이용하는 경우에만 쿠키를 전송할 수 있음
    • ex) secure 옵션이 없다면 프로토콜에 상관없이 http://www.codestates.com 또는 https://www.codestates.com에 모두 쿠키를 전송
    • 단, 도메인이 localhost인 경우에는 HTTPS가 아니어도 쿠키 전송 가능
      → 개발 단계에서는 localhost를 사용하는 경우가 많기 때문에 생긴 예외
  5. HttpOnly
    • 자바스크립트로 브라우저의 쿠키에 접근이 가능한지 여부를 결정
    • 해당 옵션이 true로 설정 →자바스크립트로 쿠키에 접근 불가능
    • 옵션을 명시하지 않는 경우에는 기본적으로 false로 지정
    • false인 경우 document.cookie를 이용해 자바스크립트로 쿠키에 접근할 수 있으므로 쿠키가 탈취될 위험 있음
  6. SameSite
    • Cross-Site 요청을 받은 경우, 요청에서 사용한 메서드(ex. GET, POST, PUT, PATCH ...)와
      해당 옵션의 조합을 기준으로 서버의 쿠키 전송 여부를 결정
      • Cross-Origin과 Cross-Site를 혼동하지 않도록 주의
      • Cross-Origin : 서버의 도메인, 프로토콜, 포트 중 하나라도 다른 경우 Cross-Origin으로 구분
        • http://codestates.com vs https://codestates.com ⇒ 프로토콜이 다르므로 Cross-Origin입니다.
        • https://codestates.com:443 vs https://codestates.com ⇒ https의 기본 포트는 443입니다.
          따라서 도메인, 프로토콜, 포트가 모두 같은 Same-Origin입니다.
      • Cross-Site : eTLD+1이 다른 경우 Cross-Site로 구분
        • TLD(Top Level Domain, 최상위 도메인): .com, .org, .kr, .io 같이 도메인의 가장 마지막 부분을 의미
        • eTLD(Effective Top-Level Domain, 유효 최상위 도메인) : 사이트를 식별할 수 있을 만큼 세분화된 TLD.
          .com, .org와 같은 TLD는 그 자체로도 eTLD로 판단하며 .kr, .io 같은 TLD는 하위 도메인을 하나 더 더한 .co.kr, .githup.io등을 eTLD라고 판단
        • eTLD+1: eTLD 바로 왼쪽의 하위 레벨 도메인을 합한 것
        • http://codestates.com vs https://codestates.com ⇒ 두 주소 모두 eTLD는 .com, eTLD+1은 codestates.com으로 같으므로 Same-Site입니다.
        • https://code.github.io vs https://states.github.io ⇒ 두 주소 모두 eTLD가 github.io로 같지만, eTLD+1은 각각 code.github.io, states.github.io로 다르므로 Cross-Site입니다.
      • SameSite 옵션에서 사용할 수 있는 속성
        • Lax : Cross-Site 요청이라면 GET 메서드에 대해서만 쿠키 전송 가능
        • Strict : 가장 엄격한 옵션, Cross-Site가 아닌 Same-Site인 경우에만 쿠키 전송 가능
        • None : Cross-Site에 대해 가장 관대한 옵션으로 항상 쿠키를 보낼 수 있음. 쿠키 옵션 중 Secure 옵션이 필요

서버에서 이러한 옵션들을 지정한 다음
서버에서 클라이언트로 쿠키를 처음 전송하게 된다면 헤더에 Set-Cookie라는 프로퍼티로 쿠키를 담아 전송

→ 이후 클라이언트에서 서버에게 쿠키를 전송해야 한다면 클라이언트는 헤더에 Cookie라는 프로퍼티에 쿠키를 담아 서버에 쿠키를 전송

 

쿠키를 이용한 상태 유지

이러한 쿠키의 특성을 이용하여 서버는 클라이언트에 인증정보를 담은 쿠키를 전송하고,

클라이언트는 전달받은 쿠키를 서버에 요청과 함께 전송하여 Stateless한 인터넷 연결을 Stateful하게 유지 가능

 

하지만 기본적으로 쿠키는 오랜 시간 동안 유지될 수 있고, HttpOnly 옵션을 사용하지 않았다면 자바스크립트를 이용해서 쿠키에 접근할 수 있기 때문에 쿠키에 민감한 정보를 담는 것은 위험

 

이런 인증정보를 이용해 공격자가 유저인척 서버에 요청을 보낸다면

서버는 누가 요청을 보낸 건지 의심하지 않고 이를 인증된 유저의 요청으로 취급

이때 개인정보와 같은 민감한 정보를 공격자가 탈취한다면 2차 피해가 일어날 수 있다.

Session

서버가 Client에 유일하고 암호화된 ID를 부여

중요 데이터는 서버에서 관리

신뢰할 수 잇는 유저인지 서버에서 추가로 확인가능

  설명 접속 상태 저장 경로 장점 단점
cookie 쿠키는 그저 http의 stateless한 것을 보완해주는 도구 클라이언트 서버에 부담을 덜어줌 쿠키 그 자체는 인증이 아님
session 접속 상태를 서버가 가짐(stateful)
접속 상태와 권한 부여를 위해 세션아이디를 쿠키로 전송		 서버 신뢰할 수 있는 유저인지 서버에서 추가로 확인 가능 하나의 서버에서만 접속 상태를 가지므로 분산에 불리