HTTP による安全でない認証 (基本認証)

説明

対象のアプリケーションは、HTTP 経由で Basic 認証スキームを使用してユーザーを認証していることが判明しました。Basic 認証はユーザ名とパスワードを base64 でエンコードし、Authentication ヘッダで送信します。クライアントとサーバの通信経路の間(あるいは同じローカルネットワーク上)にいる攻撃者は、パケットスニッファを使用してユーザ名とパスワードを読み取り、解読することが可能です。

対処法

可能であれば、OAuth 2.0やArgon2idアルゴリズムで保護されたデータストアにユーザー名とパスワードを保存するなど、より堅牢なユーザー認証方法に切り替えてください。ベーシック認証を使用する必要がある場合、認証情報は HTTPS/TLS などのセキュリティチャンネルでのみ送信されるようにしてください。

詳細

ID集計CWE種類リスク
287.1false287受動的中規模