[주요정보통신기반시설] 14. 취약한 패스워드 복구

해당 취약점은 패스워드 복구 및 초기화의 적절성을 점검하는 취약점입니다.

패스워드 초기화 시 한가지 패스워드로 계속 변경되거나 혹은 추측 가능한 수준이라면 취약이라고 판단합니다.

이 취약점으로 생각해볼 수 있는 시나리오는

세션이 유지되어있다고 가정했을 때 공격자가 접근하였다면, 본 계정의 비밀번호를 모르기 때문에 복구를 시도하여 다음 계정 접속 때 이용할 수 있습니다. 그 복구에서 바로 2차 비밀번호를 알려준다면 공격자는 더 쉽게 이후의 접근이 가능할 것입니다.

 

취약의 기준

1. 2차 비밀번호를 바로 알려주는지

2. 2차 비밀번호는 항상 고정되있는 값이거나 추측이 가능한지(날짜관련, 순서관련 등등)

3. 사용자 메일을 확인하는 절차를 가지고 있는 곳이라면 이메일에 대한 검증을 제대로 한 후에 비밀번호를 보내주는지

등등의 기준으로 판단할 수 있습니다.

 

취약점 진단 가이드의 내용은 아래와 같습니다.

이상입니다~