🇰🇷 한글 설명
애플리케이션이 비밀번호 해싱을 위해 보안에 취약한 MD5 알고리즘을 사용합니다. 공격자가 클라우드 서비스 취약점이나 TLS 다운그레이드 공격 등을 통해 해시 값을 탈취할 경우, 짧은 시간 내에 해시를 복호화하여 사용자 계정에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
비밀번호를 암호화할 때 너무 쉬운 방식을 사용하여, 해커가 암호화된 데이터를 가져가면 원래 비밀번호를 금방 알아낼 수 있는 문제입니다. 이를 통해 해커가 사용자의 계정으로 몰래 로그인할 위험이 있습니다.
🇺🇸 원문 (English)
The application uses an insecure hashing algorithm (MD5) to hash passwords. If an attacker obtained a copy of these hashes, either through exploiting cloud services, performing TLS downgrade attacks on the traffic from a mobile device, or through another means, they may be able to crack the hash in a reasonable amount of time and gain unauthorized access to the victim's account.
📍 영향받는 시스템
MD5 알고리즘을 사용하여 비밀번호를 저장하는 모든 애플리케이션 및 관련 서비스
⚔️ 공격 벡터
클라우드 서비스 취약점 악용, 모바일 기기 통신 시 TLS 다운그레이드 공격 또는 기타 데이터 탈취 경로
🛡️ 대응 방법
MD5 대신 Argon2, bcrypt, scrypt와 같은 강력한 솔트(Salt) 기반의 현대적 해싱 알고리즘으로 교체하십시오.
🔧 검증 코드
소스 코드 내에서 MD5 관련 함수 호출이 발견되면 취약한 것으로 판단합니다.
grep -rE 'md5\((|hash_md5|md5)' /path/to/source/code