3월 6일 목요일: 11장 6.1-6.6챕터 스터디

[choiseona]

유미라: link
윤태연: link
최선아: link

[rhino-ty]

2003년에 지어진 책에서는, Version 0(넷스케이프) 쿠키 형식/명세로 쿠키 헤더 속성을 알려줬는데, 현재 쿠키 형식/명세에 대한 표준이 바뀌었을까요? 버전업이 됐을까요?

[ssum1ra]

https://developer.mozilla.org/ko/docs/Web/HTTP/Cookies

[rhino-ty]

쿠키 표준의 변천사

1. 초기 쿠키(넷스케이프 쿠키, Version 0): 1994년 넷스케이프 네비게이터에서 처음 구현되었으며 공식 표준이 아닌 비공식 명세였습니다.

2. RFC 2109 (HTTP 상태 관리 메커니즘): 1997년에 발표된 최초의 공식 쿠키 표준으로, "Version=1" 속성을 도입했습니다. 그러나 이 표준은 널리 채택되지 않았습니다.

3. RFC 2965 (HTTP 상태 관리 메커니즘): 2000년에 업데이트된 버전으로 RFC 2109를 대체했지만, 역시 업계에서 폭넓게 채택되지 않았습니다.

4. RFC 6265 (HTTP 상태 관리 메커니즘): 2011년에 발표된 현재의 표준으로, 이전 RFC들을 모두 폐기하고 실제 브라우저 구현을 기반으로 한 새로운 쿠키 명세를 제공했습니다.

주요 변경사항

현재 RFC 6265 표준은 이전의 Version 0(넷스케이프) 명세와 비교해 다음과 같은 중요한 변화가 있습니다:

1. Version 속성 폐기

Version 0/1 구분이 공식적으로 폐기되었습니다.

4. 새로운 속성 추가

• HttpOnly: JavaScript를 통한 쿠키 접근을 방지하여 XSS 공격으로부터 보호
• SameSite: CSRF 공격으로부터 보호 (Strict, Lax, None 값 사용)

5. 쿠키 처리 알고리즘 명확화

• 쿠키 저장, 전송, 만료 처리에 대한 더 명확한 알고리즘 제공
• RFC 6265의 섹션 5("Cookie Processing Algorithm")

최신 업데이트

RFC 6265에 대한 여러 업데이트 제안들이 있었습니다:

• RFC 6265bis: SameSite 속성, 쿠키 접두사, 최대 크기 제한 등에 관한 추가 명세 작업
• 쿠키 접두사: __Host-와 __Secure-로 시작하는 쿠키에 대한 특별 보안 규칙

2003년 이후 쿠키 표준은 웹 보안 강화에 중점을 두고 발전해왔으며, 이러한 변화는 현대 웹 개발에서 쿠키를 더 안전하게 사용할 수 있도록 도왔습니다. 현재 대부분의 브라우저는 RFC 6265를 따르며 최신 보안 확장 기능도 지원하고 있습니다.