[OHS] SameSite=None 설정

 

"Samesite"은 쿠키(Cookie)의 속성 중 하나로, 보안 및 개인 정보 보호를 강화하기 위한 목적으로 도입된 것입니다. "Samesite" 속성은 웹 페이지 내에서 쿠키가 전송되는 방식을 제어합니다.

"Samesite=None"은 쿠키가 모든 사이트로부터 요청에 대해 전송될 수 있음을 의미합니다. 이는 주로 Cross-Site Request Forgery (CSRF) 공격 및 일부 사용자 경험 관련 문제를 해결하기 위해 사용됩니다.

 

※ SameSite 속성

A cookie with "SameSite=Strict" will only be sent with a same-site request.
A cookie with "SameSite=Lax" will be sent with a same-site request, or a cross-site top-level navigation with a "safe" HTTP method.
A cookie with "SameSite=None" will be sent with both same-site and cross-site requests.

 

 - "None"으로 설정할 경우, 동일 사이트와 크로스 사이트에 모두 쿠키 전송이 가능합니다.
 - "Strict"로 설정할 경우, 서로 다른 도메인에서는 아예 전송이 불가능해 집니다. 따라서, CSRF를 완전히 방지할 수는 있지

    만, 사용자 편의성을 많이 해치게 됩니다.
 - "Lax"로 설정할 경우, Strict 설정에 일부 예외(HTTP GET method/a href/link href)를 두어 적용되는 설정입니다.

 

OHS 웹서버 SameSite=None 설정 방법

 - httpd.conf 파일 내 아래와 같이 설정

Header edit Set-Cookie “$1;SameSite=None;Secure”