쿠키와 보안 문제

  이번 글을 통해 '쿠키를 사용했을 때 발생할 수 있는 보안 문제'와 '세션을 이용한 해결책'을 알아보려고 한다.

혹시나 쿠키(Cookie)와 세션(Session)에 대한 기본 지식이 필요하다면 아래의 글을 먼저 참고하기를 바란다.

• 쿠키(Cookie) 기본 지식
• 세션(Session) 기본 지식

 

1. 쿠키를 사용했을 때 발생할 수 있는 보안 문제 🕌

  쿠키를 이용해서 로그인 기능을 아래와 같이 만들었다고 생각해 보자. 쿠키의 값으로 사용자를 구별할 수 있는 ID값(= memberId, 예를 들어 DB에 저장된 인덱스 값이 될 수 있음)이 전달되게 된다.

🔎 로그인

🔎 로그인 후 접근

  위와 같이 동작한다고 하면 3가지 보안 문제가 발생할 수 있다.

📕 문제 1. 임의로 쿠키 값을 변경하는 문제

  클라이언트가 쿠키를 강제로 변경하면 다른 사용자로 로그인이 된다. 예를 들어 memberId를 1이 아닌 2로 설정하면 다른 사용자가 되게 된다. (웹브라우저에서 '개발모드 - Application - Cookie'에서 값 변경 가능)

📕 문제 2. 쿠키에 보관된 정보를 훔쳐가는 문제

  현재에는 쿠키 값으로 memberId 값을 사용하고 있다. 하지만, 쿠키 값으로 주민등록번호와 같은 개인정보를 사용한다면 개인정보유출과 같은 문제가 발생하게 된다.

  유저의 로컬 PC에서 쿠키 값을 탈취당하는 것뿐만 아니라 네트워크 전송을 하는 과정에서도 정보가 개인정보를 탈취당할 수 있다.

📕 문제 3. 해커가 쿠키를 한번 훔쳐가면 평생 사용할 수 있는 문제

만약 해커가 쿠키인 memberId를 훔쳐간다고 생각해 보자. 그러면 해커는 계속해서 악의적인 요청을 보낼 수 있다.

 

2. 세션을 이용한 해결책 🛕

  위에서 살펴본 3가지 문제점에 대한 대안은 아래와 같다.

📘 예상 불가능한 복잡한 세션 Id를 사용한다.

📘 세션 Id에 중요한 정보를 넣지 않는다.

📘 해커가 쿠키를 훔쳐가도 일정한 시간이 지나면 사용할 수 없도록 한다.

  위와 같이 문제를 해결하기 위해서는 서버에서 토큰(랜덤 값)을 관리하고, 토큰과 사용자 id를 매핑해서 인식해야 한다. 그리고 중요한 정보를 모두 서버에 저장해야 한다. 

  이렇게 서버에 중요한 정보를 보관하고 연결을 유지하는 방법을 세션(Session)이라고 한다. 동작과정은 아래 그림을 통해 쉽게 이해할 수 있다.

🔎 로그인

🔎 로그인 후 접근

  쿠키에 저장할 토큰값으로 UUID(Universally Unique IDentifier)를 사용한다면 랜덤 값을 손쉽게 사용할 수 있다. 

 

해당 글은 김영한 님의 '스프링 MVC 2편 - 백엔드 웹 개발 활용 기술'을 참고하였습니다.