HTTP에서의 안전하지 않은 인증 (다이제스트 인증)

설명

대상 애플리케이션은 HTTP를 통해 다이제스트 인증 방식으로 사용자를 인증하는 것으로 확인되었습니다.
다이제스트 인증은 사용자 이름과 비밀번호를 해시하기 위해 안전하지 않은 해싱 알고리즘(MD5)을 사용하며, 이를 Authentication 헤더에 전송합니다.
클라이언트와 서버 간 통신 경로에 있는 공격자(또는 동일한 로컬 네트워크에 있는 공격자)는 패킷 스니퍼를 사용하여 서버의 응답 매개변수를 수정하여 다이제스트 접근 인증 모드의 보안을 저하시킬 수 있습니다.
또한, 서버는 해시된 자격 증명을 일반적으로 .htpasswd라는 파일에 저장합니다. 이러한 비밀번호를破解할 수 있는 도구가 쉽게 제공됩니다.

수정 방법

가능하다면 OAuth 2.0과 같은 더 강력한 방법으로 사용자를 인증하거나 Argon2id 알고리즘으로 보호된 데이터 스토어에 사용자 이름과 비밀번호를 저장하는 것으로 전환하십시오.
다이제스트 인증을 사용해야 하는 경우, 자격 증명이 HTTPS/TLS와 같은 안전한 채널을 통해서만 전송되도록 하십시오.

세부 사항

ID 집계 CWE 유형 위험
287.2 false 287 수동 낮음

링크