HTTP를 통한 불안전한 인증 (Basic Authentication)

설명

대상 애플리케이션은 HTTP를 통해 Basic Authentication 스키마를 사용하여 사용자를 인증하는 것으로 확인되었습니다. Basic Authentication은 사용자 이름과 비밀번호를 base64로 인코딩하고 Authentication 헤더로 보냅니다. 클라이언트와 서버 사이의 통신 경로 중간에 있는 공격자나 동일한 로컬 네트워크에 있는 공격자는 패킷 스니퍼를 사용하여 사용자 이름과 비밀번호를 읽고 디코딩할 수 있습니다.

복구

가능하다면 OAuth 2.0과 같이 더 견고한 방법으로 사용자를 인증하거나, 사용자 이름과 비밀번호를 Argon2id 알고리즘으로 보호된 데이터 저장소에 저장하는 것과 같이, 더 견고한 방법으로 전환하세요. Basic Authentication을 사용해야 하는 경우, 자격 증명이 HTTPS/TLS와 같은 안전한 채널을 통해 전달되도록 보장하세요.

세부 정보

ID 집계 CWE 유형 위험
287.1 false 287 수동 중간

링크