브라우저 A와 B에서 같은 홈페이지 관리자 계정으로 로그인해 둡니다. A에서 비밀번호를 바꾸고 B로 돌아오니, 세션이 끊어지지 않고 열어 둔 관리자 화면이 그대로 보입니다. 이 상태에서 B로 관리자 전용 기능을 한 번 더 실행해 봅니다. 서버가 새 요청에도 관리자 데이터를 보내는지 보면 기존 세션이 살아 있는지 끊어졌는지 확인할 수 있습니다.
비밀번호 변경과 세션 종료
비밀번호는 로그인할 때 계정의 소유자를 확인하는 데 쓰입니다. 로그인 뒤에는 서버가 브라우저의 쿠키 등에 담긴 세션 식별자를 통해 같은 사용자의 요청인지 알아봅니다. 이전 비밀번호로 새 로그인이 막혀도, 서버가 기존 세션을 유효하게 처리하면 이미 로그인한 브라우저는 관리자 기능을 계속 사용할 수 있습니다. 세션을 종료하려면 서버에서 그 세션으로 들어오는 후속 요청을 거부해야 합니다. OWASP 세션 관리 지침 — 세션 만료와 무효화
비밀번호를 바꾼 브라우저만 로그인을 유지하는 구현도 있습니다. 예를 들어 Django 6.0의 기본 비밀번호 변경 화면에서 사용자가 본인 비밀번호를 바꾸면, 현재 세션의 인증 해시가 갱신되고 세션 키도 교체됩니다. 기본 사용자 모델을 쓰는 구성에서 다른 브라우저가 다음 요청을 보내면, 기존 세션의 인증 해시가 바뀐 비밀번호에서 계산한 값과 일치하지 않아 인증이 풀립니다. Django 6.0 — 비밀번호 변경 시 세션 처리
두 브라우저를 이용한 재현
운영과 동일한 인증 설정을 적용한 테스트 환경에서 관리자 계정 하나를 준비합니다. 브라우저 두 종류나 서로 다른 브라우저 프로필에 각각 로그인하면 쿠키를 분리할 수 있습니다. 같은 프로필에서 탭만 두 개 열면 로그인 쿠키를 공유할 수 있으므로 두 개의 독립된 세션을 확인하기 어렵습니다.
- A와 B에서 모두 관리자 전용 화면의 조회 기능을 실행합니다. 변경 전 두 세션이 모두 정상인지 확인하는 단계입니다.
- A에서 비밀번호를 바꿉니다. ‘다른 기기에서 로그아웃’ 같은 옵션이 있다면 선택 여부와 변경 완료 시각을 기록합니다.
- B의 쿠키를 그대로 둔 채 같은 관리자 전용 조회를 다시 실행합니다. A에서도 같은 기능을 실행해 비밀번호를 변경한 세션의 처리 결과를 따로 기록합니다.
- 별도의 새 프로필에서 이전 비밀번호가 거부되고 새 비밀번호로 로그인되는지 확인합니다. 새 로그인 결과와 A·B의 세션 처리 결과를 구분해 남깁니다.
서버 응답으로 확인하는 종료 여부
B에서 관리자 화면의 메뉴를 눌러도 화면의 틀은 그대로 보일 수 있습니다. 개발자 도구의 Network 탭을 열고 브라우저 캐시를 끈 상태에서 조회를 다시 실행합니다. 해당 요청의 응답에 관리자 전용 데이터가 들어왔는지 봅니다. 로그인 화면으로 이동했다면 리다이렉트 앞뒤를 확인합니다. 마지막 응답이 200이어도 본문이 로그인 화면이라면 관리자 조회는 성공한 것으로 볼 수 없습니다.
반대로 비밀번호 변경 뒤에도 B의 새 요청이 관리자 전용 데이터를 받았다면, 그 시점에 해당 조회 경로에서 기존 인증 상태로 접근이 가능했다는 뜻입니다. ‘다른 기기에서 로그아웃’을 선택했는데도 이 결과가 나왔다면, 변경 완료 시각과 조회 요청의 시각을 기준으로 서버의 세션 종료 기록과 인증 결과를 맞춰 봅니다. 기록에는 요청 ID와 처리 결과를 남기고, 비밀번호나 쿠키 값, 세션 식별자 원문은 제외합니다. OWASP 세션 관리 지침 — 세션 이벤트 기록
변경 방식에 따른 판정
사이트에서 본인이 비밀번호를 바꾸는 기능과, 비밀번호 찾기나 운영자 초기화로 재설정하는 기능을 제공한다면 경로마다 점검합니다. OWASP ASVS 5.0의 7.4.3은 비밀번호 재설정·복구를 포함해 인증 수단이 변경되거나 제거된 뒤 다른 활성 세션을 종료할 선택지를 제공하는지 확인하도록 합니다. 제품에서 이 선택지를 제공한다면, 선택했을 때 기존 세션의 관리자 요청이 실제로 차단되는지 확인합니다. OWASP ASVS 5.0 — 세션 종료 기준 7.4.1·7.4.3
결론
점검표에는 비밀번호를 바꾼 A, 변경 전에 로그인한 B, 변경 후 새로 로그인한 브라우저의 결과를 각각 적습니다. 다른 세션을 종료하는 정책이라면 B의 관리자 전용 요청이 차단되어야 합니다. A까지 재로그인할지는 사이트 정책에 따라 따로 판단합니다. 다음에 변경이나 재설정 기능을 수정할 때도 같은 관리자 조회로 비교하면, 어느 경로에서 기존 세션이 계속 접근할 수 있는지 확인할 수 있습니다.