[Web] 쿠키의 SameSite 과 CSRF 공격

SameSite

SameSite 정책은 쿠키가 동일한 사이트에서만 전송되어야 하는지
여부를 결정하는 웹 브라우저 보안 정책이다.
이 정책은 크로스 사이트 요청 위조(CSRF) 공격과 같은 보안 문제를 예방하기 위해 중요하다.

옵션

1. Strict: 쿠키는 오로지 동일한 사이트에서만 전송된다.
2. Lax: GET 방식의 요청에 대해서만 동일한 사이트가 아닌 곳에서도 쿠키를 전송할 수 있다.
3. None: 쿠키는 모든 요청에서 전송될 수 있다.

CSRF 공격과 SameSite

크로스 사이트 요청 위조(CSRF)는 웹 보안 공격 중 하나로,
사용자가 자신의 의도와는 무관하게 공격자가 의도한 행동을 사이트에서 수행하게 만드는 공격이다.

Refresh Token과 Access Token을 사용한 로그인 방식에서
Refresh Token은 주로 쿠키에 저장해서 보낸다.

Access Token은 유효기간이 짧아서 그나마 괜찮지만
Refresh Token은 유효기간이 짧기 때문에 탈취 당하면 안된다.

공격자는 탈취 당한 Refresh Token으로 Access Token을 재발급 받아
CSRF 공격을 시도할 수 있기 때문이다.

SameSite 정책은 이러한 CSRF 공격을 방지하는 데 사용될 수 있다.
대부분의 브라우저 정책은 SameSite 정책이 적용되어 있으며 Lax 가 적용되어있다.