HTTP를 통한 안전하지 않은 인증 (다이제스트 인증)

대상 애플리케이션이 HTTP를 통해 다이제스트 인증 방식으로 사용자를 인증하는 경우의 보안 위험과 해결 방법을 설명합니다.

설명 # 대상 애플리케이션이 HTTP를 통해 다이제스트 인증(Digest Authentication) 방식으로 사용자를 인증하는 것이 발견되었습니다. 다이제스트 인증은 안전하지 않은 해싱 알고리즘(MD5)을 사용하여 사용자 이름과 비밀번호를 해시하고, 이를 Authentication 헤더에 담아 전송합니다. 클라이언트와 서버 간의 통신 경로 중간(또는 동일한 로컬 네트워크 상)에 위치한 공격자는 패킷 스니퍼를 사용하여 서버의 응답 파라미터를 수정함으로써 다이제스트 액세스 인증 모드의 보안 수준을 낮출 수 있습니다. 또한, 서버는 해시된 자격 증명을 일반적으로 .htpasswd 라는 파일에 저장하는데, 이 비밀번호를 크래킹할 수 있는 도구가 쉽게 구할 수 있습니다. 해결 방법 # 가능하다면 OAuth 2.0과 같이 보다 강력한 사용자 인증 방법으로 전환하거나, 사용자 이름과 비밀번호를 Argon2id 알고리즘으로 보호되는 데이터 저장소에 저장하는 방식을 사용하십시오. 다이제스트 인증을