[Web] 취약한 패스워드 복구 (PR)

취약한 패스워드 복구

 

취약점 개요

■ 위험도
- 상

■ 점검 목적
- 패스워드 복구 로직을 유추하기 어렵게 구현하고, 인증된 사용자 메일이나 SMS에서만 복구 패스워드를 확인할 수 있도록 하여 비인가자를 통한 사용자 패스워드 획득 및 변경을 방지하기 위함

 

 

■ 보안 위협
- 취약한 패스워드 복구 로직(패스워드 찾기 등)으로 인해 공격자가 불법적으로 다른 사용자의 패스워드를 획득, 변경할 가능성이 있음

점검 및 조치 방법

■ 점검 및 판단 기준
- 양호 : 패스워드 재설정 시 난수를 이용하여 재설정하고 인증된 사용자 메일이나 SMS로 재설정된 패스워드 전송 시
- 취약 : 패스워드 재설정 시 일정 패턴으로 재설정되고 웹 사이트 화면에 바로 출력될 시

■ 조치 방법
- 패스워드 복구 로직을 변경하고 인증된 사용자 메일이나 SMS 에서만 재설정된 패스워드를 확인 가능하도록 조치

■ 점검 방법
Step 1) 재설정(또는 패스워드 찾기) 되는 패스워드 몇 개를 획득하여 사용자의 연락처, 주소, 이메일, 일정 패턴을 패스워드로 사용하고 있는지 확인하고 재설정된 패스워드를 인증된 사용자 메일이나 SMS로 전송하는지 확인

취약한 패스워드 복구

■ 보안설정방법
Step 1) 사용자의 개인정보(연락처, 주소, 이메일 등)로 패스워드를 생성하지 말아야 하며, 난수를 이용한 불규칙적이고 최소길이(6자 이상 권고) 이상의 패턴이 없는 패스워드를 발급하여야 함
Step 2) 사용자 패스워드를 발급해주거나 확인 시 웹 사이트 화면에 바로 출력해주는 것이 아닌 인증된 사용자 메일이나 SMS로 전송해주어야 함