부적절한 이용자 인가 여부

평가항목ID	WEB-SER-003, MOB-SER-003	위험도	5
통제구분	5.8.4 (일반공통) 서비스 보호	평가항목	부적절한 이용자 인가 여부
상세설명	o 접근 권한에 대한 검증 과정이 구현되지 않아 다른 이용자의 민감한 정보나 권한이 노출 될 수 있으므로 이에 대한 검증절차 존재 여부를 점검 * (평가 예시)  - 현재 로그인 중인 이용자가 중요 정보가 포함된 페이지에 대해 접근권한 확인 여부 점검  - 중요 정보 페이지에서 이용자 파라미터 변경으로 타인의 정보를 열람, 수정이 가능 여부 점검  - 통상 파라미터 변조에 따른 비정상적인 권한상승/조회/변경 가능 여부 등을 점검

 

부적절한 이용자 인가 여부

적절한 사용자 권한 부여는 사용자가 가져서는 안 되는 특정 리소스 또는 권한에 대한 액세스 권한이 부여되는 상황을 말합니다. 사람의 실수, 접근 제어의 잘못된 구성, 시스템의 보안 취약성 등 다양한 원인으로 인해 발생할 수 있습니다.

부적절한 사용자 인증은 민감한 데이터에 대한 무단 액세스, 시스템 설정 조작 또는 사용자를 대신하여 수행되는 무단 작업을 포함하여 심각한 결과를 초래할 수 있습니다. 데이터 위반, 무단 수정 또는 리소스 오용으로 이어질 수 있습니다.

부적절한 사용자 권한 부여를 방지하려면 적절한 액세스 제어 및 권한 부여 메커니즘을 구현하는 것이 필수적입니다. 여기에는 사용자에게 작업을 수행하는 데 필요한 최소한의 액세스 권한만 부여되는 최소 권한 원칙을 따르는 것이 포함됩니다. 사용자 권한에 대한 정기적인 감사 및 검토를 수행하여 부적절한 권한을 식별하고 수정해야 합니다.

또한 다단계 인증과 같은 강력한 인증 메커니즘을 구현하면 인증된 사용자에게만 시스템 액세스 권한이 부여되도록 할 수 있습니다. 정기적인 보안 평가 및 침투 테스트는 잠재적으로 부적절한 사용자 인증으로 이어질 수 있는 취약성을 식별하는 데 도움이 될 수 있습니다.

전반적으로 강력한 보안 상태를 유지하고 잠재적인 취약성에 대해 경계를 유지하는 것은 부적절한 사용자 권한 부여를 방지하고 중요한 데이터 및 리소스를 보호하는 데 중요합니다.

 

인증 vs 인가

인증 vs 인가

 

인증 (Authentication)

인증은 기본적으로 자신이 누구인지 증명하는 것으로 인증을 위한 표준 방법은 ID/PW 와 같은 자격 증명의 유효성을 검증하는 것입니다. 일반적으로 로그인을 생각할 수 있습니다.

또한, Two-Factor 혹은 Multi-Factor 인증이라고 불리는 것이 있는데 비밀번호 외에 추가적인 인증을 하는 것을 뜻합니다.

 

구분	설명	예시
지식기반 (Knowledge)	사용자만 알고 있는 것 “What you know”	패스워드, PIN코드, 미리 설정해놓은 질문답변 등
소유기반 (Possession)	사용자만 소유하고 있는 것 “What you have”	휴대폰 SMS인증, 보안카드, OTP 등 공인인증서, 스마트폰, 스마트카드, USB토큰, 기타 하드웨어 키 등
속성기반 (Inherence)	사용자만의 고유한 속성 “What you are”	지문인식, 홍채인식, 정맥인식, 얼굴인식 등

예)

개인정보를 변경하는 페이지 접속 시 사용자 검증 여부 (불충분한 이용자 인증 - 개인정보 변경 시 본인확인 필수)

 

인가 (Authorization)

인가는 권한을 생각할 수 있습니다. 관리자 권한을 갖은 사용자와 일반 권한을 갖은 사용자는 메뉴에 대한 접속 권한이 다릅니다. 어떠한 리소스에 접근할 수 있는지 없는지를 검증하는 것입니다.

 

예)

다른 사용자의 게시글을 수정, 삭제하는 경우 (부적절한 이용자 인가 여부 - 게시글 수정, 삭제의 권한)

권한이 없는 관리자 페이지 URL을 강제 입력하여 접속하는 경우  (부적절한 이용자 인가 여부 - 권한이 없는 메뉴에 접근)

 

 

해결방안

세션을 통한 검증 절차를 구현하여 사용자를 확인 후 해당 페이지에 접근할 수 있도록 합니다.

Client-side (Javascript)를 통한 인증 시 스크립트 변조를 통해 권한을 획득할 수 있으므로, Server-side로 구현합니다.