HTTP 통신에 쓰이는 쿠키와 세션에 대한 이해

https://dreamhack.io/lecture/courses/166  와 다양한 자료를 참고하였습니다.

잘못된 정보가 있으면 댓글 달아주세요!

 

 

현대의 웹 서비스는 대부분 로그인을 통해 마이페이지, 유료 서비스 등 개인만의 서비스를 이용한다.

웹 서버는 수많은 클라이언트와 HTTP 프로토콜을 사용해 통신한다.

손님 계정으로 로그인 했다면 손님이 이용할 수 있는 서비스를 제공하고, 관리자 계정으로 로그인 했다면 데이터베이스, 회원 관리 등의 관리자 페이지를 제공해야 한다.

그렇다면 웹 서버는 수많은 클라이언트를 어떻게 구별하고 서로 다른 결과를 반환해줄까?

HTTP 프로토콜로 웹 서버와 통신할 때에는 웹 서버에 명령을 내리기 위해 GET, POST와 같은 메소드와 자원의 위치를 가리키는 URL 등이 포함되어 있다.

이외에도 헤더(Header)를 통해서 웹 서버에게 요청을 보내고, 웹 서버는 헤더를 읽고 클라이언트에게 결과 값을 반환한다. 헤더에는 클라이언트의 정보와 요청의 내용을 구체화하는 등의 데이터가 포함되는데, 클라이언트의 인증 정보를 포함하고 있는 것이 바로 Cookie와 Session이다. 

 

1. HTTP  프로토콜의 특징

• Connectionless: 하나의 요청에 하나의 응답을 한 후 연결을 종료하는 것을 의미한다. 특정 요청에 대한 연결은 이후의 요청과 이어지지 않고 새 요청이 있을 때 마다 항상 새로운 연결을 맺는다.
• Stateless: 통신이 끝난 후 상태 정보를 저장하지 않는 것을 의미한다. 이전 연결에서 사용한 데이터를 다른 연결에서 요구할 수 없다.

 

2. 쿠키 

https://raonctf.com/essential/study/web/cookie_connection

• 웹사이트를 방문하고 이용할 때 브라우저에 저장되는 내용들이 포함
• 웹사이트는 쿠키를 통해 접속자의 장치를 인식하고, 접속자의 설정과 과거 이용내역에 대한 일부 데이터를 저장
• HTTP는 Connectionless(비연결지향)과 Stateless(상태정보 유지안함)의 특징을 갖고 있기 때문에, 로그인을 하고 그 상태를 유지하기 위해서는 쿠키가 필요하다. 
• 웹 애플리케이션(서버)이 사용자(클라이언트)를 구분할 때 사용된다. 
• 이름 - 값으로 구성된다. 
• 서버는 set-cookie 헤더를 통해 쿠키를 생성하고 클라이언트에게 전송되며, 사용자 브라우저는 쿠키를 저장하고 서버로 보내는 요청에 쿠키 헤더를 저장한 쿠키를 전송한다. (증명을 위해 받은 쿠키의 값을 그대로 전송)
  • 서버가 클라이언트에게 쿠키를 전송할 때 정보가 탈취된다면, 공격자는 클라이언트인척 사칭할 수 있으므로 안전하게 생성 및 전달해야 한다. 
• 쿠키의 한계: 사용자가 수정 가능하고, 남이 보기도 쉽다.
  • 따라서 지워지거나 수정되거나 가로채도 큰 피해가 없을 정보를 주로 담는다.
  • 만약 서버가 별다른 검증 없이 쿠키를 통해 이용자의 인증 정보를 식별한다면 공격자가 타 이용자를 사칭해 정보를 탈취할 수 있다. 즉, 악의적인 클라이언트는 쿠키 정보를 변조해 서버에 요청을 보낼 수 있다. 

https://raonctf.com/essential/study/web/cookie_connection

 

3. 세션 

https://raonctf.com/essential/study/web/session_connection

• 쿠키에 인증 상태를 저장할 때, 클라이언트가 인증 정보를 변조할 수 없게 하기 위해 세션(Session)을 사용한다. 
• 세션은 인증 정보를 서버에 저장하고 해당 데이터에 접근할 수 있는 키(유추할 수 없는 랜덤한 문자열)를 만들어 클라이언트에 전달하는 방식으로 작동한다
• 세션은 인증 정보를 서버에 저장하고 해당 데이터에 접근할 수 있는 키(유추할 수 없는 랜덤한 문자열)를 만들어 클라이언트에 전달하는 방식으로 작동한다.
  • 해당 키를 Session ID라고 한다.
• 브라우저는 해당 키를 쿠키에 저장하고, 이후에 HTTP 요청을 보낼 때 사용한다. 서버는 요청에 포함된 키에 해당하는 데이터를 가져와 인증 상태를 확인한다

 

4. 쿠키 vs 세션 

• 쿠키는 데이터 자체를 이용자가 저장하며, 세션은 서버가 저장한다는 핵심적인 차이가 있다.
• 세션을 사용하는 서비스에 접속하면 서버에서는 사용자들을 구분하기 위한 기한이 짧은 임시키를 브라우저에 보내서 쿠키로 저장

구분	쿠키	세션
저장위치	클라이언트	서버
삭제	쿠키 저장시 만료기간 설정 (브라우저가 종료되어도 만료시점이 안되면 자동삭제 되지 않음)	브라우저 종료시 세션 삭제
저장 타입	파일	객체
속도	파일에서 읽으므로 상대적으로 빠름	요청마다 서버에서 처리 해야하므로 비교적 느림
보안	취약함	비교적 안전

 

 

5. 쿠키 vs 캐시

• 쿠키는 '서버의 필요에 의해' 클라이언트에 저장하는 데이터
• 캐시는 클라이언트 자체에서 페이지 로드를 효율적으로 하기 위해 저장하는 데이터 

 

 

☆ 쿠키는 위변조가 가능하기때문에 해킹이 가능하다.