Password Management

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 속성 파일에서 비밀번호를 읽고 이 비밀번호를 사용하여 URL 요청에 기본 authentication 자격 증명을 설정합니다.

...
var fs:FileStream = new FileStream();
fs.open(new File("config.properties"), FileMode.READ);
var password:String = fs.readMultiByte(fs.bytesAvailable, File.systemCharset);

URLRequestDefaults.setLoginCredentialsForHost(hostname, usr, password);
...

이 코드는 올바로 실행되지만 config.properties에 대한 액세스 권한이 있는 사용자면 누구나 password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 구성 파일 또는 기타 데이터 저장소에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 레지스트리에서 비밀번호를 읽고 해당 비밀번호를 사용하여 새 네트워크 자격 증명을 생성합니다.

...
string password = regKey.GetValue(passKey).ToString());
NetworkCredential netCred =
           new NetworkCredential(username,password,domain);
...

이 코드는 바르게 실행되지만 암호를 저장하는 데 사용되는 레지스트리 키에 대한 액세스 권한이 있는 사용자면 누구나 password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 구성 파일 또는 기타 데이터 저장소에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 레지스트리에서 비밀번호를 읽고 이 비밀번호를 사용하여 데이터베이스에 연결합니다.

...
RegQueryValueEx(hkey,TEXT(.SQLPWD.),NULL,
                NULL,(LPBYTE)password, &size);
rc = SQLConnect(*hdbc, server, SQL_NTS, uid,
                SQL_NTS, password, SQL_NTS);
...

이 코드는 성공적으로 실행되지만 암호 저장에 사용된 레지스트리 키에 액세스할 수 있는 모든 사용자는 password 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 접근 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 속성 파일에서 암호를 읽고 이 암호를 사용하여 데이터베이스에 연결합니다.

...
01  RECORD.
     05  UID              PIC X(10).
     05  PASSWORD         PIC X(10).
...
EXEC CICS
  READ
  FILE('CFG')
  INTO(RECORD)
  RIDFLD(ACCTNO)
  ...
END-EXEC.

EXEC SQL
  CONNECT :UID
  IDENTIFIED BY :PASSWORD
  AT :MYCONN
  USING :MYSERVER
END-EXEC.
...

이 코드는 올바로 실행되지만 CFG에 대한 액세스 권한이 있는 사용자면 누구나 암호의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

암호를 사용자로부터 받거나 암호가 응용 프로그램의 구성 파일 또는 데이터베이스의 일반 텍스트에 저장되면 Password management 이슈가 발생합니다.
예제 1: 다음 코드는 웹 폼에서 비밀번호를 읽고 이 비밀번호를 사용하여 데이터베이스에 연결합니다.

<cfquery name = "GetCredentials" dataSource = "master">
SELECT   Username, Password
FROM     Credentials
WHERE    DataSource="users"
</cfquery>
...
<cfquery name = "GetSSNs" dataSource = "users"
 username = "#Username#" password = "#Password#">
SELECT   SSN
FROM     Users
</cfquery>
...

이 코드는 올바로 실행되지만 master 테이블에 대한 액세스 권한이 있는 사용자면 누구나 Username 및 Password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

암호 관리 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 JSON 파일에서 암호를 읽고 이 암호를 사용하여 요청의 권한 부여 헤더를 설정합니다.

...
file, _ := os.Open("config.json")
decoder := json.NewDecoder(file)
decoder.Decode(&values)

request.SetBasicAuth(values.Username, values.Password)
...

이 코드는 올바로 실행되지만 config.json에 대한 접근 권한이 있는 사용자면 누구나 values.Password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 접근 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 하드코드된 비밀번호를 사용하여 응용 프로그램에 연결하고 주소록 항목을 검색합니다.

    ...
    obj = new XMLHttpRequest();
    obj.open('GET','/fetchusers.jsp?id='+form.id.value,'true','scott','tiger');
    ...

이 코드는 성공적으로 실행되지만 코드를 포함하는 웹 페이지에 액세스하는 사람은 누구나 암호를 볼 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password Management 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 plist 파일에서 암호를 읽고, 암호로 보호되는 파일의 압축을 풀 때 이 암호를 사용합니다.

...
NSDictionary *dict= [NSDictionary dictionaryWithContentsOfFile:[[NSBundle mainBundle] pathForResource:@"Config" ofType:@"plist"]];
NSString *password = [dict valueForKey:@"password"];
[SSZipArchive unzipFileAtPath:zipPath toDestination:destPath overwrite:TRUE password:password error:&error];
...

모바일 환경에서는 장치 분실 위험이 높기 때문에 암호 관리가 특히 중요합니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 속성 파일에서 암호를 읽고 이 암호를 사용하여 데이터베이스에 연결합니다.

...
$props = file('config.properties', FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
$password = $props[0];

$link = mysql_connect($url, $usr, $password);
if (!$link) {
    die('Could not connect: ' . mysql_error());
}
...

이 코드는 올바로 실행되지만 config.properties에 대한 액세스 권한이 있는 사용자면 누구나 password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 하드코드 또는 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 구성 파일 또는 기타 데이터 저장소에 일반 텍스트로 저장하거나 하드코드할 때 발생합니다. 암호를 하드코드하는 것은 좋은 방법이 아닙니다. 암호 하드코드는 모든 프로젝트 개발자가 암호를 볼 수 있을 뿐 아니라 문제 해결을 극히 어렵게 만듭니다. 코드가 운영 단계에 들어가면 소프트웨어 패치 없이는 암호를 변경할 수 없습니다. 암호로 보호되는 계정이 손상되면 시스템 소유자는 보안과 가용성 중 한 가지를 선택해야 합니다.
예제 1: 다음 코드는 사용자가 데이터베이스 서버에 로그인하는 데 사용한 비밀번호를 읽어 예상 값과 비교하여 사용자를 인증합니다.

...
ip_address := OWA_SEC.get_client_ip;
IF ((OWA_SEC.get_user_id = 'scott') AND
    (OWA_SEC.get_password = 'tiger') AND
    (ip_address(1) = 144) and (ip_address(2) = 25)) THEN
        RETURN TRUE;
ELSE
        RETURN FALSE;
END IF;
...

이 코드는 성공적으로 실행되지만 코드에 액세스할 수 있는 사용자는 암호에도 액세스할 수 있습니다. 프로그램을 공개한 후에는 프로그램에 패치를 적용해야만 데이터베이스 사용자 “scott”를 암호 “tiger”로 변경할 수 있습니다. 직원이 이 정보에 대한 접근 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 속성 파일에서 암호를 읽고 이 암호를 사용하여 데이터베이스에 연결합니다.

...
props = os.open('config.properties')
password = props[0]

link = MySQLdb.connect (host = "localhost",
                           user = "testuser",
                           passwd = password,
                           db = "test")
...

이 코드는 올바로 실행되지만 config.properties에 대한 액세스 권한이 있는 사용자면 누구나 password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 구성 파일 또는 기타 데이터 저장소에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 환경 변수에서 비밀번호를 읽고 이 비밀번호를 사용하여 데이터베이스에 연결합니다.

require 'pg'
...
passwd = ENV['PASSWD']
...
conn = PG::Connection.new(:dbname => "myApp_production", :user => username, :password => passwd, :sslmode => 'require')

이 코드는 바르게 실행되지만 암호를 저장하는 데 사용되는 환경 변수에 대한 액세스 권한이 있는 사용자라면 누구나 PASSWD의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

암호 관리 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 속성 파일에서 암호를 읽고 이 암호를 사용하여 데이터베이스에 연결합니다.

...
val prop = new Properties()
prop.load(new FileInputStream("config.properties"))
val password = prop.getProperty("password")

DriverManager.getConnection(url, usr, password)
...

이 코드는 바르게 실행되지만 config.properties에 대한 접근 권한이 있는 사용자라면 누구나 password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 접근 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password Management 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 plist 파일에서 암호를 읽고, 암호로 보호되는 파일의 압축을 풀 때 이 암호를 사용합니다.

...
var myDict: NSDictionary?
if let path = NSBundle.mainBundle().pathForResource("Config", ofType: "plist") {
    myDict = NSDictionary(contentsOfFile: path)
}
if let dict = myDict {
    zipArchive.unzipOpenFile(zipPath, password:dict["password"])
}
...

모바일 환경에서는 장치 분실 위험이 높기 때문에 암호 관리가 특히 중요합니다.

암호를 일반 텍스트로 저장하면 시스템 침해가 발생할 수 있습니다.

Password management 이슈는 암호를 응용 프로그램의 속성 또는 구성 파일에 일반 텍스트로 저장할 때 발생합니다.
예제 1: 다음 코드는 속성 파일에서 암호를 읽고 이 암호를 사용하여 데이터베이스에 연결합니다.

...
Private Declare Function GetPrivateProfileString _
  Lib "kernel32" Alias "GetPrivateProfileStringA" _
  (ByVal lpApplicationName As String, _
  ByVal lpKeyName As Any, ByVal lpDefault As String, _
  ByVal lpReturnedString As String, ByVal nSize As Long, _
  ByVal lpFileName As String) As Long
...
Dim password As String
...
password = GetPrivateProfileString("MyApp", "Password", _
  "", value, Len(value), _
   App.Path & "\" & "Config.ini")
...
con.ConnectionString = "Driver={Microsoft ODBC for Oracle};Server=OracleServer.world;Uid=scott;Passwd=" & password &";"
...

이 코드는 올바로 실행되지만 config.properties에 대한 액세스 권한이 있는 사용자면 누구나 password의 값을 읽을 수 있습니다. 비양심적인 직원이 이 정보에 대한 액세스 권한을 갖게 되면 이를 사용하여 시스템에 침입할 수 있습니다.