웹 세션

01무엇이고, 어떤 일을 하나

• 로그인 결과를 후속 요청의 사용자 정보에 연결한다.
• 인증 수준 변경과 로그아웃 때 식별자와 유효 상태를 갱신한다.
• 유휴·절대 만료로 탈취된 인증 상태의 사용 시간을 제한한다.

02어떤 순서로 동작하나

1. 자격 검증

   서버가 로그인 입력을 검증하며 실패한 입력에는 인증된 세션을 발급하지 않는다.

2. 새 식별자 발급

   로그인 또는 권한 변경 시 예측하기 어려운 새 식별자로 회전하고 서버 저장소의 사용자 문맥에 연결한다.

3. 쿠키 전달

   서버의 Set-Cookie 응답을 받은 브라우저가 쿠키 정책에 맞는 다음 요청에 Cookie를 첨부한다.

4. 요청마다 검사

   서버가 식별자 존재·만료·인증 상태를 확인한 뒤 해당 객체·행동의 인가를 별도로 수행한다.

5. 만료 또는 종료

   유휴·절대 만료나 로그아웃 시 서버 상태를 무효화한다. 브라우저의 쿠키 삭제만으로 서버의 기존 상태가 자동 폐기되지는 않는다.

03먼저 알아둘 용어와 구성요소

Session ID

서버가 세션 상태를 찾는 데 사용하는 예측하기 어려운 식별자.

세션 고정

공격자가 아는 기존 식별자가 로그인 뒤에도 계속 쓰이는 문제.

Idle timeout

마지막 활동 이후 일정 시간이 지나면 세션을 만료시키는 조건.

Absolute timeout

활동 여부와 관계없이 최초 생성 이후 정해진 시간이 지나면 만료하는 조건.

HttpOnly

브라우저 스크립트가 쿠키를 읽는 경로를 제한하는 쿠키 속성.

Secure

쿠키의 전송을 보안 연결로 제한하는 속성.

세션 회전

로그인·권한 상승 때 기존 식별자를 새 식별자로 교체하는 처리.

04예제로 따라가기

• 모형 고정: 각 16진수 글자가 독립적이고 균등한 난수라고 가정한다. 실제 생성기의 품질을 이 계산만으로 입증할 수는 없다.
• 전체 난수: 32글자가 모두 무작위이면 표현 가능한 경우의 수는 16^32=2^128이고 이상적 엔트로피는 128비트다.
• 고정 접두사: 앞 24글자가 고정이고 뒤 8글자만 무작위이면 엔트로피는 8×4=32비트로 줄어든다.
• 확률 비교: 유효 ID 하나를 독립적으로 한 번 추측하는 모형에서 성공 확률은 각각 1/2^128과 1/2^32다. 겉보기 길이가 같아도 차이가 크다.
• 해석 범위: 재사용·유출·세션 고정은 난수 길이를 늘려도 별도로 남는다. 생성기·발급·전달·폐기 경로를 함께 보호해야 한다.

05혼동하기 쉬운 점과 확인 기준

• Cookie 범위: 같은 이름의 쿠키가 서로 다른 Domain·Path에 존재하는지 본다. 요청에 복수 값이 들어오면 서버 선택 방식에 따라 다른 세션이 적용될 수 있다.
• 저장소 분리: 로드밸런서 뒤 서버들이 같은 세션 저장소·서명 키·만료 정책을 사용하는지 비교한다. 특정 서버에서만 로그아웃되는 패턴은 분산 상태의 단서다.
• 회전 경쟁: 동시에 보낸 요청이 이전 ID와 새 ID를 번갈아 쓰는지 본다. 이전 ID의 유예가 필요하면 기간·권한 범위를 명확히 제한한다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.