[SSL 인증서버] 윈도우 웹서버에서 SameSite=None; Secure 자동 설정하기.

 

크롬80 버전부터 서로 다른 도메인간 쿠키값 공유가 더이상 지원을 하지 않게 되면서(보안강화) 보안서버 도입을 해야 할 시점이 다가 온듯 하다..

 

일차적으로 문제 되는 현상은 웹에서 카드결제(PG) 모듈이 문제가 발생 했다...

 

처음에 인지한 시점은 올해 초 였는데... 웹서버를 SSL 인증서 설치하여 보안서버로 변경하는걸 미루다 보니 지금까지 왔다..

 

일단, 크롬 브라우져의 보안강화 관련 내용을 보자.

 

https://developers-kr.googleblog.com/2020/01/developers-get-ready-for-new.html?fbclid=IwAR0wnJFGd6Fg9_WIbQPK3_FxSSpFLqDCr9bjicXdzy--CCLJhJgC9pJe5ss 

개발자를 위한 새로운 SameSite=None; 보안 쿠키 설정에 대비하기

 

윈도우 서버에서 쿠키값 생성시 SameSite=None; Secure 값을 같이 넣어주는 방법을 찾아봤다.

 

1. 우선 SSL 인증서를 발급받아 보안 인증서버를 만들어야 한다.

 

2. IIS URL Rewriter 라는 프로그램을 설치한다.

 

https://www.iis.net/downloads/microsoft/url-rewrite

URL Rewrite : The Official Microsoft IIS Site

• Korean: x86 installer / x64 installer

3. URL 재작성 툴을 이용하여 쿠키값 생성시 쿠키값 생성시 SameSite=None; Secure 코드값을 같이 넣어준다.

 

참고, 이 작업을 하기 위해 일반 웹사이트(80)에서 작업을 하면 로그인이 되지 않는데, 왜 그런지는 아직 모르겠지만...

 

필히 보안 인증서버(443)로 설정이후에 작업을 해야 한다는거

웹사이트 루트에 있는 파일을 열어서 web.config 작성해도 된다.

 

<configuration>
    <system.webServer>
        <rewrite>
            <outboundRules>
                <rule name="AddSameSiteCookieFlag">
                    <match serverVariable="RESPONSE_Set-Cookie" pattern="(ASPSESSIONID)(.*)" />
                    <action type="Rewrite" value="{R:0}; SameSite=none; Secure;" />
                </rule>
            </outboundRules>
        </rewrite>
    </system.webServer>
</configuration>

 

 

 

#인증서버 #보안서버 #SSL/TLS #SameSite #쿠키값공유 #윈도우서버

---

본 블로그의 글은 공공정보와 개인적 생각의 글 임을 알려드립니다.

또한 오류가 있는 부분이 있으면 댓글로 알려주시기 바랍니다.

 

감사합니다.