세션, 쿠키, 스토리지 개념

1) HTTP 프로토콜

 

(1) 정의

• HTTP는 HyperText Transfer Protocol의 약자로 인터넷 상에서 데이터를 주고 받기 위한 서버/클라이언트 모델을 따르는 프로토콜이다.

 

• OSI 7 Layer에서 Application 레벨의 프로토콜로 TCP/IP 위에서 작동하며 어떠한 종류의 데이터든지 전송할 수 있도록 설계되었다.

 

• 예를 들어, 사용자는 웹 브라우저에서 HTTP 프로토콜을 통해 웹 서버에서 HTML 문서, 이미지, 동영상, JSON 데이터 등을 주고 받는다.

 

(2) 특징

 

① 비연결성 (Connectionless)

• HTTP는 먼저 클라이언트가 서버에 요청을 보내면, 서버는 클라이언트에게 요청에 맞는 응답을 보내고 TCP/IP 연결을 끊는 특성이다.

 

② 무상태 (Stateless)

• TCP/IP 연결을 끊는 순간, 서버와 클라이언트의 통신이 끝나며 상태 정보를 유지하지 않는 특성이다.

 

③ 클라이언트 → 서버 구조

 

④ HTTP 메시지

 

(3) HTTP가 가지는 한계

• 기본적으로 HTTP 프로토콜은 비연결성 (Connectionless) 및 상태 비저장 (Stateless) 특성을 가지기 때문에 클라이언트 요청만으로는 서버가 클라이언트를 구별할 수 없다.

 

• 따라서, 이러한 HTTP 프로토콜의 한계를 보완하기 위해 쿠키 또는 세션을 사용한다.

 

2) 쿠키 (Cookie)

 

(1) 정의

• 쿠키란 클라이언트와 서버의 연결이 끊겨도 필요한 정보를 기억하기 위해 클라이언트의 컴퓨터 혹은 브라우저의 메모리에 저장되는 Key-Value로 이루어진 작은 텍스트 파일이다.

 

• 서버에서 HTTP 응답 헤더에 Set-Cookie 속성을 사용하여 클라이언트에 쿠키를 만들 수 있다.

 

• 또한, 쿠키는 만료 시간의 정보를 가지고 있기 때문에 브라우저를 종료해도 데이터가 유지될 수 있고, 동일한 서버에 다시 요청을 보냈을 때 브라우저가 자동으로 HTTP 요청 헤더에 쿠키를 넣어서 서버에 전송한다.

 

(2) 특징

 

① 클라이언트 측 저장

• 쿠키는 서버 측에 저장되는 것이 아니라 클라이언트 측에 파일 또는 브라우저의 메모리에 저장된다.

 

② 작은 용량

• 하나의 도메인당 20개의 쿠키를 가질 수 있고 최대 개수는 300개까지 저장 가능하다.

 

• 쿠키의 최대 크기는 4KB까지 저장이 가능하다.

 

③ 보안에 취약

• 쿠키는 클라이언트 측에 저장되어 보안에 취약하기 때문에 민감한 정보를 저장하면 안된다.

 

④ 만료 날짜와 시간

• 만료 날짜와 시간을 설정하여 쿠키의 유효 기간을 지정하고, 만료된 쿠키는 자동으로 삭제된다.

 

⑤ Key-Value 구조

• 쿠키는 Key-Value 형태로 문자열 타입으로 저장된다.

 

(3) 쿠키 종류

 

① 세션 쿠키 (Session Cookie)

• 브라우저의 메모리에만 저장되며, 만료시간이 있지만 브라우저 종료 시 삭제되는 쿠키이다.

 

② 영속 쿠키 (Persistent Cookie)

• 파일로 저장되며, Max-age 설정을 통해 장기간 유지 가능하고 브라우저 종료와 관계없이 사용 가능한 쿠키이다.

 

③ 보안 쿠키 (Secure Cookie)

• HTTPS에서 사용되는 암호화된 쿠키로 비교적 안전하지만 실질적 보안이 제공되지 않아 민감한 데이터를 저장하면 안된다.

 

④ 서드파티 쿠키 (Third Party Cookie)

• 다른 도메인에 요청이 필요할 때, 생성하는 쿠키로 주로 광고 목적으로 사용되며 유저 개인정보 악용 문제가 발생할 수 있다.

 

3) 세션 (Session)

 

(1) 정의

• 세션은 쿠키에 기반하여 작동하지만 사용자 정보 데이터를 (클라이언트 측의) 파일 또는 브라우저의 메모리에 저장하는 쿠키와 달리 세션은 서버 측에서 저장 및 관리한다.

 

• 서버에서는 클라이언트를 구분하기 위해 세션 ID를 발급하고 해당 세션 ID를 Key로 설정하여 Value에는 사용자 정보 데이터를 저장한다.

 

• 그리고 서버에서 HTTP 응답 메시지를 보내기 전에 Set-Cookie 속성을 사용하여 응답 헤더에 발급한 세션 ID를 넣어 클라이언트 측에 쿠키로 저장하게 한다.

 

• 클라이언트는 이후 서버에 HTTP 요청할 때, 전달받은 세션 ID를 쿠키에 자동으로 요청 헤더에 추가하여 요청하고 서버에서는 HTTP 요청 헤더의 세션 ID 값을 세션 저장소에서 찾아보고 유효한 지 확인 후에 요청을 처리하고 응답한다.

 

(2) 특징

 

① 서버 측 저장

 

② 많은 용량

• 쿠키는 최대 4KB까지 저장이 가능하지만 세션은 서버 리소스가 허용하는 한도까지 저장할 수 있다.

 

③ 보안에 덜 취약

• 사용자 정보를 서버 측에 저장함으로써 쿠키와 달리 보안에 취약하진 않으나 세션 하이재킹과 같은 보안 공격을 대비해야 한다.

 

④ 만료 날짜와 시간

• 서버에서 지정한 타임아웃이 지나면 세션이 만료되며, 보통 30분으로 설정한다.

 

⑤ 세션 클러스터링

• 로드 밸런서를 통해 여러 웹 서버로 트래픽이 분산되는 시스템에서는 세션 클러스터링을 사용하여 여러 웹 서버 간에 세션 데이터를 공유하거나 동기화할 수 있어야 한다.

 

• 보통 인 메모리 데이터베이스인 Redis를 이용하여 세션 정보를 공유한다.

 

(3) 쿠키와 세션의 차이

	쿠키 (Cookie)	세션 (Session)
저장 위치	클라이언트 (접속자 PC)	서버
저장 형식	String	Object
만료 시점	쿠키 저장 시, 설정	서버에서 설정한 타임아웃이 지나면 만료
사용하는 자원 (리소스)	클라이언트 리소스	웹 서버 리소스
용량 제한	최대 4kb	서버의 리소스가 허용하는 한도
속도	세션보다 빠르다	쿠키보다 느리다
보안	세션보다 취약하다	쿠키보다 안전하다

• 세션 방식 또한 쿠키를 이용한다는 점에서 동작 원리가 비슷해보이지만 사용자 데이터가 누가 저장하고 관리하느냐에 차이가 있다고 보면 된다.

 

4) 웹 스토리지 (Web Storage)

 

(1) 정의

• 웹 스토리지란 클라이언트에 데이터를 저장할 수 있도록 HTML5 표준부터 추가된 저장소이다.

 

• 웹 스토리지는 Key-Value 형태로 데이터를 저장하여 Key를 기준으로 데이터를 조회하며 영구 저장소 (Local Storage)와 임시 저장소 (Session Storage)를 따로 두어 데이터의 지속성을 구분할 수 있기 때문에 환경에 맞게 선택하여 사용할 수 있다.

 

• 사실 기존 웹 환경에서 사용하는 쿠키와 매우 유사하지만 요즘에는 웹 환경 뿐만 아니라 앱 환경에서도 지원해야 하다 보니 그동안의 여러 단점 등을 개선하여 HTML5 표준부터 도입하게 되었다.

 

(2) 특징

 

① 적은 네트워크 비용

• 쿠키는 매번 서버로 전송하지만 웹 스토리지의 경우, 저장된 데이터가 클라이언트에게만 존재하고 서버 전송은 발생하지 않기 때문에 네트워크 트래픽 비용이 줄어든다.

 

② 객체 저장

• 쿠키는 단순 문자열만 저장이 가능하지만 웹 스토리지는 문자열 기반 데이터 외에 객체를 저장할 수 있기 때문에 개발 편의성을 향상시킨다.

 

③ 고용량

• 쿠키는 최대 크기가 4KB까지 저장이 가능하지만 웹 스토리지는 최대 5MB까지 저장할 수 있다.

 

④ CSRF로부터 안전

• 웹 스토리지는 오리진 (도메인, 프로토콜, 포트) 단위로 접근이 제한되는 특성 덕분에 CSRF 로부터 안전하다.

 

(3) 웹 스토리지 종류

 

① 세션 스토리지 (Session Storage)

• 세션 스토리지는 새 창, 새 탭의 단위로 스토리지가 생성되며 데이터를 공유하지 않으며 같은 탭이라도 도메인이 다르면 또 다른 세션 스토리지가 생성된다.

 

• 즉, 세션 스토리지는 도메인 및 윈도우 탭별로 구분되는 독립적인 공간으로 사용자가 브라우저의 창을 닫거나 탭을 닫으면 저장된 객체가 사라지기 때문에 잠깐의 정보를 저장하기에 용이하여 주로 회원가입 입력폼, 일회성 로그인에 사용된다.

 

② 로컬 스토리지 (Local Storage)

• 로컬 스토리지는 웹 도메인 당 1개씩 생성되며 세션 스토리지와 다르게 새 창을 띄워도 도메인만 같으면 동일한 데이터를 공유하게 되고 다른 도메인의 로컬 스토리지에는 접근이 불가능하다.

 

• 또한, 직접 로컬 스토리지를 삭제하지 않으면 영구적으로 데이터를 저장하고 쿠키를 이용하지 않는 앱 환경에서 자동 로그인 등에 주로 사용된다.

 

[Reference]

• https://shlee0882.tistory.com/107
• https://doqtqu.tistory.com/306
• https://raonctf.com/essential/study/web/cookie_connection
• https://velog.io/@hs0217/%EC%BF%A0%ED%82%A4-%EB%A1%9C%EC%BB%AC-%EC%8A%A4%ED%86%A0%EB%A6%AC%EC%A7%80-%EC%84%B8%EC%85%98-%EC%8A%A4%ED%86%A0%EB%A6%AC%EC%A7%80
• https://hahahoho5915.tistory.com/32
• https://racoonlotty.tistory.com/entry/%EC%BF%A0%ED%82%A4%EC%99%80-%EC%84%B8%EC%85%98-%EA%B7%B8%EB%A6%AC%EA%B3%A0-%EB%A1%9C%EC%BB%AC-%EC%8A%A4%ED%86%A0%EB%A6%AC%EC%A7%80%EC%99%80-%EC%84%B8%EC%85%98-%EC%8A%A4%ED%86%A0%EB%A6%AC%EC%A7%80

쿠키와 세션 그리고 로컬 스토리지와 세션 스토리지

쿠키(Cookie), 세션(Session) 특징 및 차이

쿠키, 로컬 스토리지, 세션 스토리지

RAON CTF - WEB Essential

쿠키 vs 세션 vs 웹 스토리지(로컬 스토리지, 세션 스토리지)

HTTP 프로토콜이란?