멀티 테넌트 인증을 허용하는 Entra 애플리케이션은 이 구성을 사용으로 설정할 때 관련 상황을 온전히 인지하지 못하거나 애플리케이션 코드 내에서 적절한 인증 검사를 구현하지 않는 경우 악성 사용자에게 무단 액세스 권한을 부여할 가능성이 있습니다.

로그인 지원을 위해 <a href="https://learn.microsoft.com/ko-kr/entra/identity-platform/application-model#register-an-application"> Microsoft Entra ID에 등록된 애플리케이션</a>은 싱글 테넌트 또는 멀티 테넌트 인증을 신청할 수 있습니다("로그인 대상"이라고도 함). 싱글 테넌트 인증의 경우 같은 테넌트 내 사용자에게로만 액세스를 제한하고, 멀티 테넌트 인증의 경우 모든 Entra 테넌트의 사용자에게 액세스를 허용합니다. 이렇게 <a href="https://learn.microsoft.com/ko-kr/entra/identity-platform/single-and-multi-tenant-apps">싱글 테넌트와 멀티 테넌트 앱을 구분</a>하면 보안에 영향이 발생할 수 있습니다. 애플리케이션을 멀티 테넌트로 구성할 때 그 영향에 대한 충분한 이해와 필요한 예방 조치가 없으면 보안 위험을 초래할 수 있습니다. 
멀티 테넌트 앱의 경우, 모든 테넌트의 악성 Entra 사용자가 해당 애플리케이션을 탐색하고 액세스할 수 있을 가능성이 있기 때문에 노출 위험이 높습니다. 애플리케이션의 코드가 이 구성을 고려하지 않는 경우(예: 사용자의 소스 테넌트를 인증된 테넌트 목록과 비교하여 검사하지 않음) 무단 액세스가 발생할 수 있습니다. 취약한 앱은 인증이 정상이라고 가정하고, 유효한 토큰이 있다는 사실에만 근거하여 추가 검사를 실시하지 않고 액세스를 부여하는 앱을 말합니다. 이런 유형의 취약성은 "인증(AuthN) vs. 권한 부여(AuthZ)" 결함의 영역에 속합니다. "공동 책임 모델"에 따르면 Entra ID는 사용자 인증을 처리하고, 권한 부여 측면은 앱이 담당하게 되어 있습니다.
Microsoft마저도 2023년 3월에 이 혼동으로 인해 피해를 보았습니다. 자세한 내용은 "<a href="https://www.wiz.io/blog/azure-active-directory-bing-misconfiguration">BingBang</a>" 사례 연구를 참조하십시오. 보안 연구진이 이 구성 오류를 악용하여 여러 Microsoft 애플리케이션을 침해할 수 있었으며, 이 중에는 Bing 검색 엔진의 관리 포털도 있었습니다. Microsoft에서는 자사 애플리케이션에서 이 취약성을 해결했지만, 이 사례는 비슷한 취약성이 사용자의 자체 애플리케이션에 영향을 미칠 수 있으니 필요에 따라 검토하여 시정해야 한다는 사실을 일깨워 줍니다.
멀티 테넌트 앱은 <a href="https://www.descope.com/blog/post/noauth">nOAuth 결함</a>과 같은 다른 인증 혼동을 초래할 가능성도 있습니다.
멀티 테넌트 앱의 정당한 사용 사례도 있습니다. 특히 다른 조직(예: 소프트웨어 공급업체로서 또는 조직 간 협업 목적으로)이나 같은 조직 소속이지만 다른 테넌트의 사용자(예: 자회사당 테넌트가 하나씩 있음)가 귀하의 조직에서 호스팅하는 애플리케이션에 액세스해야 하는 경우가 그러합니다. 이러한 애플리케이션은 추가적인 권한 부여 검사를 실시하지 않고 인증 성공에만 의존하는 경우에만 취약한 앱으로 간주됩니다.
이 위험 노출 지표는 특정 애플리케이션이 원래 공개를 목적으로 하는 것인지 또는 멀티 테넌트 인증을 고의로 사용으로 설정한 것인지 파악할 수 없습니다. 또한 멀티 테넌시가 꼭 필요한지 확인할 수도 없고, 애플리케이션 코드에 액세스할 수 없으면 필요한 권한 부여 검사가 마련되어 있는지도 확인할 수 없습니다. 그래서 이 IoE는 모든 멀티 테넌트 애플리케이션을 사용자가 개별적으로 검토해야 하는 발견 사항으로 플래그합니다. 확인을 마쳤으면 해당 항목은 무시됨으로 표시해도 됩니다.

초기 액세스

유효한 계정: 클라우드 계정

탐지

멀티 테넌트 인증을 허용하는 애플리케이션

LOW

Version 202404171632