Http Only Cookies

Cookie

• 웹 서버가 사용자의 웹 브라우저에 저장하는 작은 데이터 파일.
• Cookie 생명 주기

MaxAge : 쿠키가 유지되는 시간(초)

Expires : 쿠키가 만료되는 날짜와 시간

→ 둘 중 하나라도 설정하지 않으면 쿠키는 브라우저가 종료될 때까지 유지 : Session Cookie

 

 

Http Only Cookies

쿠키는 클라이언트에서 자바스크립트로 조회할 수 있기 때문에 해커들이 자바스크립트로 쿠키를 가로채고자 시도.

가장 대표적인 공격 중 하나 CSS(Cross Site Scripting)

→ CSS 취약점 해결하는 방법 : 브라우저에서 쿠키에 접근할 수 없도록 제한하는 것.

⇒ 이 역할을 하는 것 HTTP Only Cookie

개발자가 간단한 접미사를 쿠키생성코드에 추가함으로써 활성화 가능.

Set-Cookie: 쿠키명=쿠키값; path=/; HttpOnly

 

XSS 같은 공격 차단.

 

 

XSS(Cross Site Scripting)

서버 측에서 제공되는 Script가 아닌 권한 없는 사용자가 웹사이트에 Script를 삽입해 의도치 않은 동작을 일으키는 공격

 

 

Cookie의 대응 방안 → HttpOnly

• HttpOnly의 기능

클라이언트 측에서 HTTP 통신 외에 Cookie에 접근 불가능하도록 함.

즉, HttpOnly Attribute를 가진 쿠키는 클라이언트에서 JavaScript를 통해 접근이 금지 됨.

 

 

출처 : https://nsinc.tistory.com/121

[Web] HTTP Only와 Secure Cookie 이해하기

 

https://velog.io/@alang/XSS-%EA%B3%B5%EA%B2%A9%EA%B3%BC-%EC%BF%A0%ED%82%A4%EC%9D%98-HttpOnly

XSS 공격과 쿠키의 HttpOnly