HTTP를 통한 불안전한 인증 (Basic Authentication)

설명

대상 애플리케이션은 Basic Authentication scheme을 사용하여 HTTP를 통해 사용자를 인증하는 것으로 확인되었습니다. Basic Authentication은 사용자 이름과 비밀번호를 base64로 인코딩하여 Authentication 헤더로 보냅니다. 통신 경로 상에 있는 공격자(또는 동일한 로컬 네트워크 상에 있는 공격자)는 데이터그램 스니퍼를 사용하여 사용자 이름과 비밀번호를 읽고 디코딩할 수 있습니다.

조치

가능하다면 OAuth 2.0과 같이 사용자를 인증하는 더 견고한 방법으로 전환하거나, Argon2id 알고리즘으로 보호된 데이터 리포지터리에 사용자 이름과 비밀번호를 저장합니다. Basic Authentication을 사용해야 하는 경우, 자격 증명이 HTTPS/TLS와 같이 안전한 채널을 통해만 전송되도록 합니다.

Details

ID Aggregated CWE Type Risk
287.1 false 287 Passive Medium

링크