2. HTTP Cookie

Cookie
"쿠키를 허용하시겠습니까"

---

HTTP Cookie란?

HTTP Cookie는 사용자가 웹 사이트를 방문할 때 웹 브라우저에 저장되는 작은 데이터 파일이다.

브라우저는 그 데이터 조각들을 저장해놓았다가 동일한 서버에게 재 요청 시 저장된 데이터와 함께 전송한다. 쿠키는 두 요청이 동일한 브라우저에서 들어왔는지 아닌지 판단할 때 주로 사용한다. 이를 이용하면 사용자의 로그인 상태를 유지할 수있다. 상태가 없는(stateless)HTTP 프로토콜에서 상태 정보를 기억시켜주기 때문이다. 예를 들어, 쿠키는 로그인 정보, 사용자 설정, 장바구니에 담긴 항목 등을 저장할 수 있다.

---

웹 서버의 제어 + 웹 브라우저 내 저장 및 전송

'Set-Cookie' 헤더를 통해 쿠키의 데이터, 유효 시간, 보안 설정 등을 관리

 

같은 도메인이라고 해도 페이지마다 받고자하는 쿠키가 따로 있다. 웹 서버는 쿠키를 설정할 때 해당 페이지에서 필요한 쿠키만을 선택적으로 설정하고 웹 브라우저가 해당 페이지에 접속할 때 그 쿠기만 전송되도록 한다.

 

쿠키의 사용 기준: Domain + Path

• 언제 무엇을 보내야할지의 기준 → Domain, Path
• 웹 브라우저가 쿠키를 웹 서버에게 전송하는 기준(전송할지, 말지) = 해당 쿠키를 어떤 요청에 보낼지
• 모든 쿠키는 특정 도메인에 연결되며, 지정된 경로에서만 전송된다. 
  • Domain: 쿠키가 어느 도메인에 속하는지 결정한다. EX) 'a.com'에 속하는 쿠키는 'a.com'으로의 요청에만 전송된다.
  • Path: 쿠키가 어느 경로에 대해 유효한지 결정한다. '/' 경로는 도메인 내 모든 경로에 대해 쿠키가 전송되도록 설정한다. EX) 'a.com/user/name'과 같은 경로에는 '/'와 '/user' 경로에 설정된 쿠기가 전송된다.
    • • 예) 웹 브라우저 내 저장되어있는 쿠키 리스트
        • 1번 쿠키 : h1 = w1 (Domain: a.com, Path: /)
        • 2번 쿠키 : h2 = w2 (Domain: a.com, Path: /user)
        • 3번 쿠키 : h3 = w3 (Domain: b.com, Path: /hello)
        • 4번 쿠키 : h4 = w4 (Domain: c.com, Path: /world)
      • 예) 위 리스트 기반으로 아래 웹 서버에 대한 요청에 따라 전송되는 쿠키 예
        • 웹 브라우저에서 a.com/user/name 호출 시 1번 쿠키 + 2번 쿠키 전송
        • 웹 브라우저에서 a.com/ 호출 시 1번 쿠키 전송
        • 웹 브라우저에서 b.com/hello 호출 시 3번 쿠키 전송
        • 웹 브라우저에서 c.com/ 호출 시 어떤 쿠키도 전송하지 않음

 

쿠키 유효 시간: MaxAge / Expires

쿠키의 유효시간은 두 가지 방식으로 설정 가능:

• Persistent Cookie(지속 쿠키):특정 기간 동안 유효한 쿠키로, 'MaxAge'나 'Expires' 속성이 명시된 경우 해당 기간 동안 브라우저에 저장된다.
• Session Cookie(세션 쿠키): 유효시간이 명시되지 않은 쿠키로, 웹 브라우저 세션이 종료되면 자동으로 삭제된다.
  • Session의 의미: 열고(Connect) → 닫음(Disconnect)의 하나의 Pair로 사용된다.
    • 로그인 세션: 로그인하고 로그아웃 할 때까지의 시간
    • HTTP 세션: TCP/UDP 연결 후 Request 전송 후 Response 받기까지
    • 브라우저 세션: 하나의 탭/창이 열리고 닫히기까지

쿠키 보안: HttpOnly, Secure, SameSite

쿠키는 민감한 정보(인증토큰, 사용자 식별자 등)가 포함될 수 있기 때문에, 이러한 정보가 악의적인 공격자에게 노출되면 심각한 보안문제가 발생할 수 있다. 따라서 쿠키의 보안을 강화하는 것이 매우 중요하다.

 

 

HttpOnly

HttpOnly 속성은 자바스크립트를 통해 쿠키에 접근하는 것을 차단한다. 이 속성이 설정된 쿠키는 클라이언트 측에서 실행되는 스크립트(자바스크립트)로부터 접근할 수 없기 때문에, XSS(Cross Site Scripting) 공격으로부터 보호할 수 있다.

• XSS 공격방지: 공격자는 악성 스크립트를 삽입하여 쿠키에 접근하려고 할 수 있다. HttpOnly 속성을 사용하면 이러한 시도로 부터 쿠키를 보호할 수 있다.

Set-Cookie: sessionid=abc123; HttpOnly;

 

Secure

Secure 속성은 쿠키가 HTTPS 연결을 통해서만 전송되도록 보장한다. 이는 네트워크 상에서 패킷이 탈취되는 MITM(Man-in-the-Middle) 공격으로부터 쿠키를 보호할 수 있다.

• MITM 공격 방지: Secure 속성은 쿠키가 암호화되지 않은 HTTP 연결에서 전송되는 것을 방지하여, 공격자가 네트워크 트래픽을 가로채는 것을 어렵게 만든다.

Set-Cookie: sessionid=abc123; Secure;

 

SameSite

SameSite 속성은 쿠키가 동일한 사이트에서만 전송되도록 제한하는 역할을 한다. 이를 이해하기 위해선 퍼스트 파티 쿠키(First-Party Cookies)와 서드파티 쿠키(Third-Party Cookies)를 이해해야 한다.

퍼스트파티 쿠키(First-Party Cookies): Cookie Domain = Site Domain

 

퍼스트파티 쿠키는 사용자가 방문한 웹사이트의 도메인에서 설정된 쿠키이다. 예를들어 `example.com`을 방문하면 이 도메인에서 생성된 쿠키는 퍼스트파티 쿠키이다. 이러한 쿠키는 사용자가 해당 사이트를 탐색할 때, 그 사이트 내에서만 유효하며, 주로 사용자 인증 정보나 사용자 환경 설정을 저장하는데 사용한다.

 

서드파티 쿠키(Third-Party Cookies): Cookie Domain ≠ Site Domain

서드파티 쿠키는 사용자가 방문한 웹 사이트가 아닌 다른 도메인에서 설정된 쿠키이다. 예를들어 `example.com`을 방문했을 때, 이 웹 사이트에 포함된 광고 배너가 `adexample.com`에서 쿠키를 설정하면, 이 쿠키는 서드 파티 쿠키이다. 서드파티쿠키는 주로 광고 추적, 사용자행동분석 등을 위해 사용한다. 이러한 쿠키는 여러 웹 사이트에서 사용자의 행동을 추적할 수 있어, 개인정보 보호 측면에서 논란이 되고 있다.

 

 

SameSite 속성을 통해 CSRF(Cross-Site Request Forgery, 비의도) 공격을 방지할 수 있다.

• 보안 레벨 높음 - Strict: 퍼스트파티 쿠키 전송만 허용
• 보안 레벨 중간 - Lax: 서드파티 쿠키라도 특수 케이스시엔 부분 허용
  • 보안 업데이트 후 최신 크로 Default
  • 특수 케이스 = 상태 서버 변경하지 않고 조회만: GET, <a href>, <link rel="prerender">
• 보안 레벨 낮음 - None: 서드파티 쿠키 모두 허용
  • 보안 업데이트 전 과거 크롬 Default
  • 단, Secure 설정을 강제하여, HTTPS 미사용시 MITM 탈취에 대한 문제를 방지

Set-Cookie: sessionid=abc123; SameSite=Strict;

 

정리

XSS (Cross-Site Scripting) 공격

• 문제점: 악성 스크립트가 삽입된 웹 페이지에서 사용자의 쿠키를 탈취할 수 있다
• 대응 방법: 쿠키에 HttpOnly 속성을 설정하여 자바스크립트를 통한 쿠키 접근을 방지한다.

CSRF (Cross-Site Request Forgery) 공격

• 문제점: 공격자가 사용자의 인증된 세션을 악용하여 원하지 않는 행동을 수행하게 할 수 있다
• 대응 방법: 쿠키에 SameSite 속성을 설정하여 쿠키가 동일한 사이트에서만 전송되도록 제한한다.

MITM (Man-in-the-Middle) 공격

• 문제점: 공격자가 네트워크 트래픽을 가로채어 쿠키를 탈취할 수 있다.
• 대응 방법: 쿠키에 Secure 속성을 설정하여 HTTPS 연결에서만 쿠키가 전송되도록 한다.

---

쿠키의 단점

쿠키는 여러 유용한 기능을 제공하지만 그 만큼 단점도 존재한다.

 

1.쿠키가 웹 브라우저에 저장

• 민감한 정보들이 안전하지 않은채로 저장(보안의 문제)
  • HttpOnly, Secure, SameSite로 방어 가능
  • 저장되는 정보들에 대해 웹 서버만의 키로 암호화해놓고, 볼 때마다 복호화 해서 보면 되기도 하다.
• 웹 브라우저간 공유 불가: 웹 브라우저 단위의 저장소이다보니 지역성 문제가 있음.
  • 매 웹 브라우저에서 하는 검색과 같은 행위들이 해당 브라우저에만 저장된다. (추후 포스팅 예정인 Session 으로 해결 가능)

2. 쿠키는 Domain + Path만 일치한다면 해당 웹 서버로 모든 쿠키를 담음.

• 쿠키로 저장하려는 정보량이 많을수록 요청 크기가 커진다.
  • 불필요한 Network Overhead: 비대해질수록 요청사이즈도 커진다.
    • 쿠키를 단지 저장소로 써서는 안되는 이유이다.
    • 그렇기에 웹 서버에게 알려주지 않아도 되는 정보의 경우 웹 스토리지(Web Storage) 사용을 권장

---

다음 포스팅에선 웹 서버에 전달하지 않는 정보를 쿠키에 담으면 요청크기가 커지는 것을 보안하기 위한 웹 스토리지(Web Storage)에 대해 포스팅 해보고자 한다.

 

 

 

ℹ️참고

[ASAC 6기 강의자료]

 

https://developer.mozilla.org/ko/docs/Web/HTTP/Cookies

HTTP 쿠키 - HTTP | MDN

 

https://blog.naver.com/sparrowast/223156059828

HTTP 쿠키와 보안

 

https://www.educative.io/blog/http-cookies#part-1

What are HTTP cookies?