HTTP를 통한 안전하지 않은 인증 (기본 인증)

설명

대상 애플리케이션이 HTTP를 통해 기본 인증 방식으로 사용자를 인증하는 것이 발견되었습니다.
기본 인증은 사용자 이름과 비밀번호를 base64로 인코딩하여 Authentication 헤더에 전송합니다.
클라이언트와 서버 간의 통신 경로에 있는 공격자(또는 동일한 로컬 네트워크에 있는 공격자)는 패킷 스니퍼를 사용하여 사용자 이름과 비밀번호를 읽고 디코드할 수 있습니다.

수정 방법

가능하다면, OAuth 2.0과 같은 더 강력한 방법으로 사용자를 인증하거나 Argon2id 알고리즘으로 보호된 데이터 스토어에 사용자 이름과 비밀번호를 저장하는 방법으로 전환하세요.
기본 인증을 사용해야 하는 경우, 자격 증명이 HTTPS/TLS와 같은 보안 채널을 통해서만 전송되도록 하십시오.

세부정보

ID 집계 CWE 유형 위험
287.1 false 287 수동 중간

링크