[Web] 세션 고정 (SF)

세션 고정 취약점 개요 위험도 - 상 점검 목적 - 로그인 할 때마다 예측 불가능한 새로운 세션 ID를 발행하여 세션 ID의 고정 사용을 방지하기 위함 보안 위협 - 사용자 로그인 시 항상 일정하게 고정된 세션ID가 발급되는 경우 세션 ID를 도용한 비인가자의 접근 및 권한 우회가 가능 점검 및 조치 방법 점검 및 판단 기준 - 양호 : 로그인 할 때마다 예측 불가능한 새로운 세션ID가 발급되고, 기존 세션 ID는 파기될 경우 - 취약 : 로그인 세션 ID가 고정 사용되거나 새로운 세션ID 생성 로직 구현하고 기존 세션 ID는 파기함 조치 방법 - 사용자가 로그인 할 때마다 예측 불가능한 새로운 세션ID가 발급되고, 기존 세션 ID는 파기 점검 방법 Step 1) 로그인 시 세션 I.....