SameSite 관련

[exxocism]

TBD

[exxocism]

@HyerimKimm

[exxocism]

@HyerimKimm 안녕하세요! Same-Site 관련하여 좀더 확인해 보았습니다. 결론부터 말씀드리면 다음과 같습니다.

1. `Schemeful Same-Site` 규칙에 따르면 http://localhost 와 https://localhost 는  `Cross-Site`이다.
2. https://auth-front.ngrok.app 과 https://auth-back.ngrok.app 는  `Cross-Site`이다.
3. Same-Site와 Same-Origin의 차이는 다 똑같고 포트만 다른 경우에 적용된다.
4. Chrome의 `Sec-Fetch-Site` 헤더를 통해 연결하려는 사이트가 어떻게 적용되는지 알 수 있다.

• MDN의 Site 에 대한 일반적인 설명과는 달리,

  These are the same site, or different sites if the scheme is considered: http://example.com https://example.com

• 실제 Set-Cookie 헤더에 적용되는 SameSite 옵션은 실제로는 Schemeful Same-Site라고 하는 규칙을 적용하고 있었습니다.

  주요 용어: 이는 사이트의 보안에 취약한 HTTP 버전(예: http://website.example)과 보안이 강화된 HTTPS 버전(예: https://website.example)이 이제는 서로에게 교차 사이트로 간주된다는 의미입니다.

• 자세히 살펴보니 Site 문서와 SameSite 문서에 각각 언급되고 있었습니다.

  In some contexts, the scheme is also considered when differentiating sites. This would make http://vpl.ca and https://vpl.ca different sites. Including the scheme prevents an insecure (HTTP) site from being treated as the same site as a secure (HTTPS) site. A definition that considers the scheme is sometimes called a schemeful same-site. This stricter definition is applied in the rules for handling SameSite cookies.

If a request originates from a different domain or scheme (even with the same domain), no cookies with the SameSite=Strict attribute are sent.

=> Schemeful Same-Site 규칙에 따르면 http://localhost 와 https://localhost 는 Cross-Site이다.

• 또한 서브도메인만 다른 경우에도 Site 문서에서는 Same-Site로 간주하는데요,

  According to this definition, support.mozilla.org and developer.mozilla.org are part of the same site, because mozilla.org is a registrable domain.

• 실제로는 서브도메인이 다르면 Cross-Site로 취급되고 있었습니다. 그래서 저희가 테스트 했을 때, 작동하지 않았던 것입니다.

  => https://auth-front.ngrok.app 과 https://auth-back.ngrok.app 는 Cross-Site이다.

• 어떻게 Cross-Site인지 알수 있었냐면, 크롬에서 이를 알려주는 Sec-Fetch-Site 요청 헤더가 있습니다. cross-site, same-origin, same-site 여부를 이 헤더를 통해 알 수 있었습니다.

  1. https://auth-front.ngrok.app/ -> https://auth-back.ngrok.app/ : Cross-Site
  2. http://localhost -> https://localhost: Cross-Site
  3. https://final.eax.kr:3030 -> https://final.eax.kr:4040: Same-Site
  4. https://localhost -> https://localhost: same-origin
  5. https://localhost 입력한 직후: none

=> 결론 : Same-Site와 Same-Origin의 차이는 다 똑같고 포트만 다른 경우에 적용된다.

=> Chrome의 Sec-Fetch-Site 헤더를 통해 연결하려는 사이트가 어떻게 적용되는지 알 수 있다.

• 따라서 쿠키를 설정할 때 SameSite를 None으로 변경하거나, 최소 Same-Site로 인식되도록 조건을 만들어줘야 합니다.