[WEB] 데이터 평문 전송

※ 데이터 평문 전송

웹 상의 데이터 통신은 대부분 텍스트 기반으로 이루어지기 때문에 로그인 또는 실명인증과 같은 민감한 데이터(개인 식별번호, 계정정보 등)가 평문으로 송수신 될 경우 공격자가 도청(스니핑)을 다른 사용자의 민감한 데이터를 획득 할 수 있는 취약점이다.

 

 

 

 

 

※ 실습

로그인 페이지에서 ID와 PW를 입력 후 로그인하는 과정의 패킷을 캡처해서 확인한 결과 암호화 되지않은 HTTP프로토콜을 사용해서 평문으로 데이터가 전송 되는 것을 볼 수 있다. 

 

 

 

피들러 패킷 캡처 도구를 통해 로그인 페이지에서 doLogin페이지로 데이터를 평문으로 전송 후 검증하여 /bank/main 페이지로 이동하는 로그인 과정을 확인할 수 있다.

 

▼

 

 

와이어 샤크 패킷 캡처 도구를 통해 로그인 페이지에서 doLogin페이지로 데이터가 전송된 것을 확인한 모습으로 피들러와 동일하게 평문으로 전송된 것을 확인할 수 있다.

 

 

 

※ 대응방안

서버와 클라이언트 통신 시 중요정보가 사용되는 구간에 SSL 등의 안전한 암호화 통신을 적용하여 중요정보가 노출되도 알아볼수 없도록 한다.