[Spring] jsession 하이재킹 / prevent jsession hijacking / SSL_ID

session 하이재킹이란?

http://dokydoky.tistory.com/223

페이지 로그인시 로그인 뷰 페이지에서 java의 경우 고유 식별 가능한(?)
jsessionid가 발급된다. 그걸 쿠키에 저장시키는데,
이 jsessionid를 복사하여 다른 PC나 웹에 붙여넣으면 로그인 없이 로그인이 된다.

그니까 jsessionid만 알면 다른 사용자가 나의 정보를 볼수있고 빼낼 수 있다.
이게 session 하이재킹이라고..

그래서 이 session 하이재킹을 막아야 해서 구글을 검색하였다.

아래는 내가 찾은 몇가지 방법이다.

1. httponly 쿠키를 사용한다.

- 적용함

자바스크립트의 쿠키요청에 브라우저가 응답하지 않는다.

http://storyj.net/%EC%BF%A0%ED%82%A4cookie/

http://nsinc.tistory.com/121

http://senni.tistory.com/5

http://blog.pages.kr/540

2. 아이피 등록, 비교를 함께 한다. 

- IP가 같은 경우 해결할 수 없다.

3. 스프링 시큐리티를 사용하여 사용자가 로그인을 통해 인증한 이후
   로그인전 기존 세션을 무효화 하고 새로운 세션을 생성한다.

- 스프링 시큐리티를 사용하지 않음 

4. SSL_ID를 세션과 함께 체크한다.

http://stackoverflow.com/questions/1422977/how-to-prevent-tomcat-session-hijacking

1번도 1번이지만 4번을 통해 해결하였다.
역시 구글에는 모든답이 있다는것이 정말 정답이다.

테스트 결과 쿠키에 저장된 jsessionid 가 같아도 ssel_id가 다르기 때문에 로그인이 되지 않는다.
비교할 때 jsessionid와 ssl_id를 함께 비교해 주면 된다.

자세한건 나도 잘 모른다(하하ㅏ)

2016-11-28 추가

이 방법은 크롬에서 가능한 방법이라고 한다.
IE에서는 ssl session id를 제공하지 않는다. 그래서 안된다ㅠㅠㅠ
인터넷 익스플로러에서의 해결방법을 찾겠다.!!!