HTTP를 통한 안전하지 않은 인증 (Basic Authentication)

대상 애플리케이션이 HTTP를 통해 Basic Authentication 방식으로 사용자를 인증하는 경우의 보안 취약점과 해결 방법을 설명합니다.

설명 # 대상 애플리케이션이 HTTP를 통해 Basic Authentication 방식으로 사용자를 인증하는 것이 확인되었습니다. Basic Authentication은 사용자 이름과 비밀번호를 base64로 인코딩하여 Authentication 헤더에 전송합니다. 클라이언트와 서버 간의 통신 경로 중간에 위치한 공격자(또는 동일한 로컬 네트워크에 있는 공격자)는 패킷 스니퍼를 사용하여 사용자 이름과 비밀번호를 읽고 디코딩할 수 있습니다. 해결 방법 # 가능하다면 OAuth 2.0과 같이 더 강력한 사용자 인증 방식으로 전환하거나, 사용자 이름과 비밀번호를 Argon2id 알고리즘으로 보호되는 데이터 저장소에 저장하는 방식을 사용하세요. Basic Authentication을 반드시 사용해야 하는 경우, HTTPS/TLS와 같은 보안 채널을 통해서만 자격 증명이 전송되도록 해야 합니다. 상세 정보 # ID Aggregated CWE Type Risk 287.1 false 287 Pa