불충분한세션관리(Insufficient Session Management)

1

로그인 과정에서 발급받은 세션 ID를 확인하고 로그아웃 후 재 로그인 시 각각 발급받은 세션 ID에 대해 일정한 패턴이 존재하는지 검증

1

로그인 후 웹 페이지 사용을 중지한 상태로 일정 시간이 경과하였을 때 세션이 유지되는지 확인

1

사용자 인증 및 상태 유지를 위해 JWT가 사용되는지 확인

1

JWT의 헤더와 페이로드 부분을 Base64 디코딩하여 내용을 확인

1

페이로드 변조 후 서명을 삭제하거나 None 알고리즘으로 변조하였을 때 토큰이 유효한지 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

// 세션 고정 방지
@Override
protected void configure(HttpSecurity http) throws Exception {
    http.sessionManagement()
        .sessionFixation().migrateSession()  // 로그인 시 새 세션 ID 발급
        .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
        .maximumSessions(1)  // 동시 세션 1개로 제한
        .maxSessionsPreventsLogin(false)
        .expiredUrl("/login?expired");
}

// 로그인 시 세션 ID 변경
@RequestMapping("/login")
public String login(HttpServletRequest request) {
    request.changeSessionId();  // 신규 세션 ID 발급
    return "redirect:/home";
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

<system.web>
    <!-- 세션 고정 방지 -->
    <sessionState regenerateExpiredSessionId="true" />

    <!-- 세션 예측 방지 -->
    <machineKey
        validationKey="AutoGenerate,IsolateApps"
        decryptionKey="AutoGenerate,IsolateApps"
        validation="HMACSHA512"
        decryption="AES" />
</system.web>

1
2
3
4
5
6
7

// 기존 세션 삭제 후 새 세션 ID 생성
session_start();
session_regenerate_id(true);

// 예측 불가능한 세션 ID 생성
ini_set('session.entropy_length', '256');
ini_set('session.entropy_file', '/dev/urandom');

1
2
3

<session-config>
    <session-timeout>60</session-timeout>  <!-- 60분 -->
</session-config>

1

server.servlet.session.timeout=60m

1
2
3
4
5

<configuration>
    <system.web>
        <sessionState timeout="60" />  <!-- 60분 -->
    </system.web>
</configuration>

1
2

session.gc_maxlifetime = 3600  ; 60분 (3600초)
session.cookie_lifetime = 3600

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// 안전한 알고리즘 사용
const jwt = require('jsonwebtoken');

const token = jwt.sign(
    { userId: user.id, role: user.role },
    process.env.JWT_SECRET,  // 강력하고 랜덤한 비밀 키
    {
        algorithm: 'HS256',  // 안전한 알고리즘 명시
        expiresIn: '1h'       // 짧은 만료 시간
    }
);

// 검증 시 알고리즘 명시
jwt.verify(token, process.env.JWT_SECRET, {
    algorithms: ['HS256']  // none 알고리즘 차단
});

1
2
3
4
5
6
7
8

// 동시 접속 세션 제한
@Override
protected void configure(HttpSecurity http) throws Exception {
    http.sessionManagement()
        .maximumSessions(1)  // 최대 1개 세션
        .maxSessionsPreventsLogin(false)  // 이전 세션 만료
        .expiredUrl("/login?expired");
}