📂 WEB

쿠키와 보안 문제

이번 글을 통해 '쿠키를 사용했을 때 발생할 수 있는 보안 문제'와 '세션을 이용한 해결책'을 알아보려고 한다. 혹시나 쿠키(Cookie)와 세션(Session)에 대한 기본 지식이 필요하다면 아래의 글을 먼저 참고하기를 바란다. 쿠키(Cookie) 기본 지식 세션(Session) 기본 지식 1. 쿠키를 사용했을 때 발생할 수 있는 보안 문제 🕌 쿠키를 이용해서 로그인 기능을 아래와 같이 만들었다고 생각해 보자. 쿠키의 값으로 사용자를 구별할 수 있는 ID값(= memberId, 예를 들어 DB에 저장된 인덱스 값이 될 수 있음)이 전달되게 된다. 🔎 로그인 🔎 로그인 후 접근 위와 같이 동작한다고 하면 3가지 보안 문제가 발생할 수 있다. 📕 문제 1. 임의로 쿠키 값을 변경하는 문제 클라이언트가 쿠키..

캐시(Cache) - 검증 헤더와 조건부 요청 헤더

이전 글을 통해 캐시의 기본 개념을 살펴보았다. 응답을 받을 때 '캐시가 유효한 시간 값'을 받았는데 만약 캐시 유효 시간이 초과한 경우에는 어떻게 동작을 해야 할까? 더 나아가서 서버에 다시 요청을 했지만 데이터가 바뀌지 않아서 '캐시에 있는 유효 시간이 지난 데이터'와 같은 데이터라면 굳이 또 다운을 받아와야 할까? 이러한 점을 '검증 해더'와 '조건부 요청 헤더'라는 것을 통해 동작 방식을 이해해 보자. 1. 검증 헤더와 조건부 요청 헤더 🐳 1. 검증 헤더 캐시 데이터와 서버 데이터가 같은지 검증하는 데이터 Last-Modified, ETag를 사용 2. 조건부 요청 헤더 검증 헤더로 받은 조건에 따라 분기가 생기는 헤더 If-Modified-Since인 경우, Last-Modified 사용 If..

캐시(Cache)

1. 개념 🐇 캐시(Cache)란 웹 페이지 요소를 저장하기 위한 임시 저장소이다. 이미지, 사진, 오디오와 같은 파일들을 캐시에 저장하고 해당 데이터를 재사용할 수 있다. 캐시를 이용하면 데이터를 전송받기 위해 다시 서버에 요청을 하지 않아도 된다는 장점이 있다. 2. 캐시가 있는 경우 vs 캐시가 없는 경우 🦓 '캐시가 없는 경우'와 '캐시가 있는 경우'를 그림을 통해 비교해 보자. 각각의 상황에서 첫 번째와 두 번째에 같은 요청을 보낸다고 가정하자. 아래의 상황을 충분히 이해한다면 뒤에 나오는 '3. 캐시의 사용법'과 '4. 캐시를 사용했을 때의 이점'을 자연스럽게 이해할 수 있을 것이다. 1. 캐시가 없는 경우 2. 캐시가 있는 경우 3. 캐시의 사용법 🐄 서버가 데이터를 보낼 때 캐시 유효시간(..

세션(Session)

Cookie에 이어서 Session에 대해서 살펴보자. 1. 개념 🐶 세션(Session)은 쿠키를 기반으로 하고 있지만, 사용자 정보 파일을 브라우저에 저장하는 쿠키와 달리 세션은 서버 측에서 관리한다. 웹 서버에 저장되는 쿠키라고 할 수 있다. 이를 이용하여 로그인 같이 보안상 중요한 작업을 수행할 때 사용한다. 2. 특징 🐱 사용자에 대한 정보를 서버에 두기 때문에 쿠키보다 보안이 좋다. 사용자가 많아질수록 서버 메모리를 많이 차지한다. 각 클라이언트에게 고유 ID(세션 ID)를 부여한다. 세션 ID로 클라이언트를 구분해서 클라이언트의 요구에 맞는 서비스를 제공한다. 저장 데이터에 제한이 없다. 만료 시점은 클라이언트가 로그아웃하거나, 설정 시간 동안 반응이 없으면 무효화되기 때문에 정확한 시점을 ..

쿠키(Cookie)

HTTP 프로토콜 환경은 Connectionless와 Stateless 한 특성을 가진다. 즉, 클라이언트와 서버가 서로 상태를 유지하지 않는 특성이 있다. ( Connectionless : 클라이언트가 요청을 한 후 응답을 받으면 그 연결을 끊어 버리는 특징 Stateless : 통신이 끝나면 상태를 유지하지 않는 특징 ) 이는 로그인과 같이 상태를 유지해야 하는 경우에 문제가 발생한다. 이를 해결하기 위해 Cookie와 Session을 사용한다. 이번 글을 통해 Cookie에 대해서 알아보도록 하자. 1. 개념 👨‍💻 쿠키(Cookie)란 클라이언트(브라우저) 로컬에 저장되는 키와 값이 들어있는 작은 데이터 파일이다. 이를 이용하여 사용자 아이디 등의 정보 저장 - 세션관리 사용자에게 적절한 페이지를..