웹 애플리케이션에서 세션 상태 기반의 쿠키 재전송 공격 방어 기법

웹 접근성이 보다 용이해짐에 따라 사용자 인증이 필요한 웹 애플리케이션에서 보안이 중요시 되고 있다. 웹 애플리케이션에서 쿠키는 세션으로 인한 서버의 부하를 줄이고, 사용자 정보를 효율적으로 관리하기 위해 사용한다. 그러나 사용자 정보가 저장된 쿠키는 공격자에 의해 스니핑될 수 있으며, 이렇게 스니핑된 쿠키를 이용하여 공격자는 마치 합법적인 사용자인 것처럼 사용자의 세션을 유지할 수 있다. 이러한 종류의 공격을 쿠키 재전송 공격이라 하는데, 이것은 웹 애플리케이션에서 중대한 보안 문제를 야기한다. 본 논문에서는 이러한 쿠키 재전송 공격을 탐지하고 방어할 수 있는 기법을 제안하였고 그 효과성을 검증하였다. 【As web accessibility has been easier, security issue becomes much more important in web applications demanding user authentication. Cookie is used to reduce the load of the server from the session in web applications and manage the user information efficiently. However, the cookie containing user information can be sniffed by an attacker. With this sniffed cookie, the attacker can retain the web application session of the lawful user as if the attacker is the lawful user. This kind of attack are called cookie replay attack and it causes serious security problems in web applications. In this paper, we have introduced a mechanism to detect cookie replay attacks and defend them, and verified effectiveness of the mechanism.】