[보안] pass-the-hash

pass-the-hash은 해쉬값으로 통과하는 해킹 기법입니다. sha512처럼 salt와 pw로 로그인을 인증하기전에는 pw으로 생성된 해쉬값으로 로그인을 수행했고, 데이터베이스에는 비밀번호를 평문이 아닌 해쉬값으로 저장했습니다. 

프로세스상 해쉬값을 메모리에 저장해야할때가 있는데, 메모리에 저장된 해쉬값을 탈취해 비밀번호를 몰라도 인증을 유도하는 방식이 pass-the-hash 기법입니다

 

예방하기 위해선 메모리에 해쉬값같은 예민한 데이터를 저장하지 않으면 됩니다. token인증이 발전된 최신 웹에서는 당하기 어렵지만, 주의해서 개발해야할 듯합니다.