[HTTP] 쿠키, 보안

미밈·2023년 3월 23일

쿠키

⬇️ 이해를 돕기위한 예시)

📌 쿠키 미사용시,

웹브라우저에서 정보를 보내서 로그인 → 로그인 된 HTML이 나옴
→ /welcome 접속 : '안녕하세요 민'이 아닌 '안녕하세요 손님'이 나옴

→ HTTP의 무상태 특징 : 요청과 응답을 주고 받으면 연결 끊어짐

→ 이전 요청을 기억하지 못함 -> 서로 상태 유지 X

→→ 모든요청에 사용자 정보 포함해서 전달
(GET /welcom?user=민 HTTP/1.1) = 보안에도 문제, 개발 힘듬 여러문제 보유

👉 쿠키 도입

서버측에서 쿠키 Cookie헤더를 만들어서 응답.(Set-Cookie: user=민)
웹 브라우저 : 내부에 쿠키 저장소 有 → 받은 쿠키값을 저장소에 저장

로그인 이후 웹 브라우저는 이 서버에 요청을 보낼 때마다,
무조건 쿠키저장소를 뒤져서 쿠키값을 꺼내 HTTP헤더에 포함해서 전달.

모든 요청정보에 쿠키를 자동으로 포함
웹브라우저에서 지정한 서버에 대해 자동으로 쿠키를 포함해서 전달.
→ 모든곳에 보내면 보안문제 有 → 제약 O

📌 작성 방법

set-cookie: sessionId=abcde1234; expires=Sat, 26-Dec-2020 00:00:00 GMT; path=/; domain=.google.com; Secure
sessionId : 쿠키 세션 id
expires : 쿠키 만료 시점
path : 경로에 대해서만 쿠키 사용 허용
domain : 해당 도메인에서만 쿠키 사용 허용
Secure : 쿠키 보안 정보

📌 쿠키 사용처

사용자 로그인 세션 관리
실제 사용에선 서버에서 관련 정보를 그대로 내려보내기엔 위험
→ 서버 자체에서 세션 키를 만들어서 서버 데이터베이스에 저장
→ 세션값을 클라이언트에 반환 → 클라이언트에서는 세션id를 가지고 접근
광고 정보 트래킹
• 쿠키 정보는 항상 서버에 전송됨
네트워크 트래픽 추가 유발 → 최소한의 정보만 사용(세션 id, 인증 토큰)
서버에 전송하지 않고, 웹 브라우저 내부에 데이터를 저장하고 싶으면 웹 스토리지 (localStorage, sessionStorage) 참고

⛔주의⛔
보안에 민감한 데이터는 저장 ❌(주민번호, 신용카드 번호)

📌 쿠키 생명 주기

expires : 만료일이되면 쿠키 삭제
max-age = 3600(초단위) : 0, 음수지정시 쿠키 삭제
세션 쿠키 : 만료날짜 생략시 브라우저 종료시까지 유지
영속 쿠키 : 만료날짜 입력시 해당 날짜까지 유지

📌 도메인

방법2개 ( 명시, 생략 )
domain=example.org
- 명시: 명시한 문서 기준 도메인 + 서브 도메인 포함
  • domain=example.org를 지정해서 쿠키 생성
  • example.org +) dev.example.org도 쿠키 접근 ⭕
- 생략: 현재 문서 기준 도메인만 적용
  • example.org 에서 쿠키를 생성하고 domain 지정을 생략
  • example.org 에서만 쿠키 접근 ⭕
  • dev.example.org는 쿠키 접근 ❌