세션 id나 쿠키, ip 정도가 합법적인 부분에서는 전부인가요?