HTTPによる安全でない認証（ダイジェスト認証）

説明

対象のアプリケーションは、HTTP 上でダイジェスト認証スキームを使用してユーザーを認証していることが判明しました。ダイジェスト認証は安全でないハッシュアルゴリズム(MD5)を使用してユーザ名とパスワードをハッシュし、Authentication ヘッダで送信します。クライアントとサーバーの通信経路の間(または同じローカルネットワーク上)にいる攻撃者は、パケットスニッファを使ってサーバーのレスポンスパラメータを変更し、ダイジェストアクセス認証モードのセキュリティをダウングレードすることができます。さらに、サーバはハッシュ化された認証情報を、通常は.htpasswdと呼ばれるファイルに保存します。これらのパスワードをクラックするツールは容易に入手可能です。

対処法

可能であれば、OAuth 2.0やArgon2idアルゴリズムで保護されたデータストアにユーザー名とパスワードを保存するなど、より堅牢なユーザー認証方法に切り替えてください。ダイジェスト認証を使用する必要がある場合、認証情報は HTTPS/TLS などのセキュリティチャンネルでのみ送信されるようにしてください。

詳細

ID集計CWE種類リスク
287.2false287受動的低