Basic Authentication Used in Authentication

ระบบใช้การพิสูจน์ตัวจริง (Authentication) โดยวิธี “Basic Authentication”

Vulnerability Assessment

อธิบาย (Description)

เว็บแอพพลิเคชันใช้วิธีการพิสูจน์ตัวตน (Authentication) ที่เรียกว่า “Basic Authentication” นั้น ชื่อบัญชีผู้ใช้ (Username) และรหัสผ่าน (Password) จะถูกเอนโคด “Encode” ในรูปแบบที่เรียกว่า “Base64” ซึ่งสามารถถอดออกมาในรูปแบบที่สามารถเข้าใจได้เรียกว่าวิธีการ ดีโคด “Decode” ซึ่งค่าดังกล่าวจะถูกส่งไปยังเครื่องให้บริการเว็บไซต์ในส่วนของ “HEADER” ของ “HTTP Request” ซึ่งมีความไม่ปลอดภัย

ปัจจัยที่จะทำให้ประสบความสำเร็จ (Successful factors)

• ระบบไม่มีการใช้งาน “HTTPs”
• ระบบอาจจะถูกจดจำในส่วนของ “HEADER” เช่น เครื่อง “PROXY”

วิธีแก้ไข (Solution)

เปลี่ยนวิธีการพิสูจน์ตัวตนจาก “Basic Authentication” เป็น “Form-based authentication” เช่นหน้าเว็บไซต์มีหน้าจอกรอก ชื่อบัญชีผู้ใช้ (Username) และรหัสผ่าน (Password) และส่งข้อมูลดังกล่าวผ่าน “POST Method” เช่น

<form method="post" action="index.html">
      <input type="text" name="login">
      <input type="password" name="password">
      <input type="submit" name="commit" value="Login">
</form>