[WEB] 쿠키와 세션

jiyoung·2023년 1월 17일

쿠키와 세션의 필요성

HTTP(Hypertext Transfer Protocol)는 인터넷상에서 데이터를 주고 받기 위해 서버/클라이언트 모델을 따르는 통신규약을 말합니다. 이 HTTP 프로토콜에는 비연결성과 비상태성이라는 특징이 있습니다. 이는 서버의 자원을 절약하기 위해 모든 사용자의 요청마다 연결과 해제의 과정을 거치기 때문에 연결 상태가 유지되지 않고(connectionless), 연결 해제 후에 상태 정보가 저장되지 않는다는 것입니다(stateless). 이로 인해 사용자를 식별할 수 없어서 서버는 클라이언트가 누구인지 매번 확인해야 하는 불편함이 있습니다.
그런데 우리가 사용하고 있는 웹사이트를 생각해보면 로그인을 한 번 하고나면 그 사이트에서는 다시 로그인할 필요 없이 여러 페이지의 기능들을 이용할 수 있고 심지어 브라우저를 종료했다가 나중에 다시 접속했을 때도 그 로그인 상태를 유지할 수도 있습니다. 이렇게 HTTP의 비연결성과 비상태성을 보완하여 서버가 클라이언트를 식별하게 해주는 것이 쿠키와 세션입니다.

🍪쿠키

HTTP의 일종으로 사용자가 어떠한 웹 사이트를 방문할 경우, 그 사이트가 사용하고 있는 서버에서 사용자의 컴퓨터에 저장하는 작은 기록 정보 파일입니다. HTTP에서 클라이언트의 상태 정보를 클라이언트의 PC에 저장하였다가 필요시 정보를 참조하거나 재사용할 수 있습니다.

쿠키 동작 순서

클라이언트가 페이지를 요청한다. (사용자가 웹사이트에 접근)
웹 서버는 쿠키를 생성한다.
생성한 쿠키에 정보를 담아 HTTP 화면을 돌려줄 때, 같이 클라이언트에게 돌려준다.
넘겨받은 쿠키는 클라이언트가 가지고 있다가(로컬 PC에 저장) 다시 서버에 요청할 때 요청과 함께 쿠키를 전송한다.
동일 사이트 재방문 시 클라이언트의 PC에 해당 쿠키가 있는 경우, 요청 페이지와 함께 쿠키를 전송한다.

쿠키 사용 예시

방문 사이트에서 로그인 시, "아이디와 비밀번호를 저장하시겠습니까?"
팝업창을 통해 "오늘 이 창을 다시 보지 않기" 체크
최근 검색한 상품들을 광고에서 추천

쿠키의 치명적인 단점!

방문했던 웹 사이트에 대한 정보 및 개인정보가 기록되기 때문에 사생활을 침해할 소지가 있으며, 이를 해소하기 위해서 웹 브라우저 자체에 쿠키 거부 기능이 있습니다. 이러한 쿠키에 대한 거부가 웹 브라우저에 설정되어 있으면, 쿠키 본래의 목적인 웹 브라우저와의 연결을 지속시키는 기능을 수행할 수 없는 경우가 발생합니다.
서버가 가지고 있는 것이 아니라 사용자에게 저장되기 때문에, 임의로 고치거나 지울 수 있고, 가로채기도 쉬워 보안이 취약합니다. 따라서 , 쿠키에는 민감하거나 중요한 정보를 담는 것은 위험합니다.

그래서 이런 단점을 보완해주는 것이 세션입니다.

📊세션

일정 시간 동안 같은 사용자(브라우저)로부터 들어오는 일련의 요구를 하나의 상태로 보고, 그 상태를 유지시키는 기술입니다. (여기서 일정 시간은 방문자가 웹 브라우저를 통해 웹 서버에 접속한 시점부터 웹 브라우저를 종료하여 연결을 끝내는 시점) 즉, 방문자가 웹 서버에 접속해 있는 상태를 하나의 단위로 보고 그것을 세션이라고 합니다.

세션 동작 순서

클라이언트가 페이지에 요청한다. (사용자가 웹사이트에 접근)
서버는 접근한 클라이언트의 Request-Header 필드인 Cookie를 확인하여, 클라이언트가 해당 session-id를 보냈는지 확인한다.
session-id가 존재하지 않는다면 서버는 session-id를 생성해 클라이언트에게 돌려준다.
서버에서 클라이언트로 돌려준 session-id를 쿠키를 사용해 서버에 저장한다.
클라이언트는 재접속 시, 이 쿠키를 이용해 session-id 값을 서버에 전달

세션 사용 예시

화면을 이동해도 로그인이 풀리지 않고 로그아웃하기 전까지 유지

쿠키와 세션 비교

쿠키와 세션은 비슷한 역할을 하며, 동작 원리도 비슷합니다. 그 이유는 세션도 결국 쿠키를 사용하기 때문입니다.

정보가 저장되는 위치:
🍪: 서버의 자원을 사용하지 않음
📊: 서버의 자원을 사용
보안:
🍪: 클라이언트 로컬에 저장되기 때문에 변질되거나 스니핑 당할 우려가 있어서 보안에 취약함
📊: 쿠키를 이용해서 session-id만 저장하고 그것으로 구분하여 서버에서 처리하기 때문에 비교적 보안성이 높음
만료기간:
🍪: 라이프 사이클은 쿠키도 만료기간이 있지만 파일로 저장되기 때문에 브라우저를 종료해도 정보가 유지될 수 있다. 또한 만료기간을 따로 지정해 쿠키를 삭제할 때까지 유지할 수도 있다.
📊: 만료기간을 정할 수 있지만, 브라우저가 종료되면 만료기간에 상관없이 삭제된다.
속도:
🍪: 속도 면에서 쿠키가 더 우수하며, 쿠키는 쿠키에 정보가 있기 때문에 서버에 요청 시 속도가 빠름
📊: 정보가 서버에 있기 때문에 처리가 요구되어 비교적 속도가 느림

세션을 사용하면 좋은데 쿠키를 사용하는 이유는 무엇인가요?

세션이 쿠키에 비해 보안이 높은 편이나 쿠키를 사용하는 이유는 세션은 서버에 저장되고, 서버의 자원을 사용하기에 서버 자원에 한계가 있고, 속도가 느려질 수 있기 때문에 자원관리 차원에서 쿠키와 세션을 적절한 요소 및 기능에 병행 사용하여 서버 자원의 낭비를 방지하며 웹사이트의 속도를 높일 수 있습니다.

마무리

세션은 사용자의 수 만큼 서버 메모리를 차지하기 때문에, 최근에는 이런 문제들을 보완한 토큰 기반의 인증방식을 사용하는 추세라고 합니다. 토큰은 일단 세션보다 훨씬 간편한데 세션처럼 별도의 저장소 관리가 필요하지 않고 토큰을 발급 후 클라이언트에게 전송 후 검증하는 과정만 필요합니다. 그 중 JWT( JSON Web Token )라는 것이 있는데, 다음 기회에 JWT에 대해서 정리하도록 해보도록 하겠습니다. 🙆‍♀️