HTTP (Basic Authentication)을 통한 안전하지 않은 인증

설명

대상 애플리케이션은 HTTP를 통해 Basic Authentication scheme을 사용하여 사용자를 인증하는 것으로 확인되었습니다. Basic Authentication은 사용자 이름과 비밀번호를 base64로 인코딩하여 Authentication 헤더로 보냅니다. 클라이언트와 서버의 통신 경로 중간에 있는 공격자(또는 동일한 로컬 네트워크에 있는 공격자)는 패킷 스니퍼를 사용하여 사용자 이름과 비밀번호를 읽고 디코딩할 수 있습니다.

조치

가능하다면 OAuth 2.0과 같은 더 견고한 방법으로 사용자를 인증하거나, 사용자 이름과 비밀번호를 Argon2id 알고리즘으로 보호된 데이터 리포지터리에 저장하는 것과 같은 방법으로 전환하세요. Basic Authentication을 사용해야 하는 경우에는 자격 증명이 HTTPS/TLS와 같은 안전한 채널을 통해 전송되도록 보장하세요.

Details

ID Aggregated CWE Type Risk
287.1 false 287 Passive Medium

링크