[Network] 쿠키(Cookie)란? (What is a Cookie?)

쿠키(Cookie)란?

 

 

쿠키는 인터넷을 사용하는 유저가 어떤 웹사이트를 방문했을 때 그 사이트가 사용하는 서버를 통해 로컬에 저장되는 작은 데이터이다.

 

쿠키는 키와 밸류로 이루어져 있으며 만료기간, 도메인, 경로 등의 정보를 가지고 있다.

 

그렇다면 왜 쿠키란 이름을 가지게 된 것일까?

 

넷스케이프 개발자인 루 몬틀리가 이름을 짓게 되었는데 데이터의 패킷을 의미하는 "매직 쿠키" 에서 비롯되었다고 한다.

 

클라이언트는 최대 300까지 쿠키를 가질 수 있으며, 하나의 도메인 당 최대 20개, 하나의 쿠키 당 최대 4KB까지 저장할 수 있다.

---

쿠키를 사용하는 이유

 

 

이전 HTTP의 특징을 정리한 글에서 리소스를 아끼기 위해서 클라이언트와 서버가 연결되지 않는 특징(비연결성)이 있다고 했다.

 

또한 비용을 줄이기 위해서 서버는 클라이언트의 상태를 가지고 있지 않고 클라이언트가 요청 시에 모든 정보를 담아 보낸다고 했다. (무상태)

 

위 HTTP의 특징 때문에 사용자의 정보를 저장할 수 없기 때문에 웹사이트는 사용자를 구별할 수 없고 사용자는 매번 번거로운 인증 절차를 진행해야 했었다.

 

쿠키는 간단한 사용자의 정보를 기억할 수 있는 수단이며 이것은 HTTP의 단점을 해결하게 된다.

 

바로 이것이 쿠키를 사용하는 이유이다.

---

쿠키의 생성과정

 

 

쿠키가 생성되는 과정은 아래와 같다.

 

1. 클라이언트가 어떠한 정보를 요청한다.

 

2. 서버는 쿠키를 생성한다.

 

3. 생성한 쿠키를 요청한 정보(HTTP 헤더)와 함께 돌려 보낸다.

 

4. 클라이언트는 로컬에 쿠키를 저장한다.

 

5. 재방문 시 이미 쿠키가 있는 경우 서버에 쿠키를 전달한다.

 

6. 업데이트할 정보가 있다면 서버는 해당 쿠키를 요청한 정보와 함게 돌려 보낸다.

 

즉, 자주 쓰이는 데이터를 서버에서 받아오는 것이 아닌 로컬에 저장하여 쉽게 사용하기 위한 수단이다.

---

쿠키의 종류

 

1. Session Cookie

 

세션 동안만 저장되고 사라지는 쿠키를 의미한다.

 

2. Persistent Cookie

 

하드 디스크에 저장되는 쿠키이며 웹 페이지에 접속할 때마다 서버에 전송되는 쿠키를 의미한다.

 

3. Secure Cookie

 

암호화된 쿠키를 의미한다.

 

4. HTTP Only Cookie

 

자바스크립트와 같은 비 HTTP API의 접근을 제한하는 쿠키를 의미한다.

---

쿠키가 사용되는 예시

 

 

1. 자동 로그인

 

쿠키를 통해서 로컬에 로그인 정보를 저장하고 서버에 해당 정보를 보내 사용자 인증을 받을 수 있다.

 

2. 하루동안 보지 않기

 

쿠키에 만료일을 설정할 수 있으므로 해당 정보를 통해서 보고싶지 않은 정보를 설정할 수 있음

 

3. 최근 검색 리스트

 

쿠키를 통해서 최근에 검색한 정보들을 저장하여 사용자에 따라 보여줄 수 있음

---

쿠키를 사용하면 좋은 점

 

 

사용자의 정보를 방문 시에 저장하고 있기 때문에 방문 시마다 확인해야할 번거로운 작업(로그인)들을 편리하게 처리할 수 있다.

 

또한 사용자마다 저장하는 정보가 다르기 때문에 사용자에 맞게 웹사이트의 모드(다크 모드)나 언어(한국어) 등을 설정할 수 있다.

 

마지막으로 웹사이트를 운영하는 입장에선 사용자가 저장한 쿠키 정보를 이용하여 사용자의 행동과 패턴을 분석하고 트래킹 할 수 있다.

---

쿠키의 한계

 

 

쿠키는 사용자 인증, 검색 기록 등의 개인 정보를 저장하는 것이기 때문에 사용자의 개인 정보를 침해 당할 소지가 있다.

 

또한 이것은 사용자 로컬에 저장되는 것이기 때문에 쉽게 조작되거나 가로챌 수 있어 보안이 취약하다.

 

구체적으론 자바스크립트로 쿠키를 탈취하는 XSS 공격, 암호화 되지 않은 쿠키를 탈취하는 스니핑 공격 등이 있다.

 

그러므로 쿠키에는 중요한 정보를 담는 것은 위험하고 웹사이트는 반드시 쿠키를 저장해도 되는지의 여부를 사용자에게 물어봐야 한다.

 

 

만약 쿠키를 저장한다고 설정했더라도 나중에 세팅에 가서 거부한다고 바꿀 수도 있다.