웹 보안 - 세션 관리(Session management)

Session management

• 서버 쪽에서 session을 만들어 sesson id를 붙임
• 세션 정보는 세션 id를 사용하여 웹 서버에 저장됨

 

Sesson tokens

 

Session hijacking

• HTTP protocol level에서 발생
• 누군가 session을 가로채서 서버는 정당한 클라이언트라고 생각해 처리해줌

 

대응

• 강한 Session Token 생성
  • SID = [userID, exp.time, data] 다양한 정보를 가지고 만듦
  • Session Token = HMAC(k, SID)
    • k: 웹 서버만 아는 key

 

---

※ 국민대학교 소프트웨어학부 윤명근 교수님의 정보보호와시스템보안 교과목을 공부하며 정리한 내용입니다.