12

SSLで保護されたログインページはあるものの、保護されていないトップページなどにもログインフォームが存在するサイトをたまに見かけます。

このような状態だとフォーム内容のPOSTリクエスト自体はSSLで保護されていますが、ログインフォームそのものが改竄されたページに誘導された場合に、入力した情報が盗まれる可能性があると思います。(いわゆるフィッシング)

ある程度規模の大きなサイトでも例があるので何か理由があるのではないかと思っていたのですが、 これはセキュリティリスクがそこまで高くないということなのか、あるいはSSLにするデメリットが大きいのでしょうか。

5 件の回答 5

10

OWASPというWebアプリケーションのセキュリティに関するガイドラインを公開している団体があります。その指針によれば

The login page and all subsequent authenticated pages must be exclusively accessed over TLS. The initial login page, referred to as the "login landing page", must be served over TLS. Failure to utilize TLS for the login landing page allows an attacker to modify the login form action, causing the user's credentials to be posted to an arbitrary location.

Transport Layer Protection Cheat Sheet - OWASP

と書かれてあり、要するにログインページがhttpのままではHiroshi Yamamotoさんの仰っているようにログインフォームが書き換えられている場合の検証ができません。

また、ネットワーク経路が汚染されている場合も危険です。例えば公衆WiFiを利用していて管理者が悪意を持っている場合に、入力した情報は筒抜けになります。この部分についてはFiddlerを用いたキーロガーのシミュレーションをやっている以下の記事が個人的には参考になりました。

Troy Hunt: Your login form posts to HTTPS, but you blew it when you loaded it over HTTP

なぜこうしたWebサイトがちまたに存在するかについては私の立場では完全に憶測になりますので、他の方の回答に委ねます。

が、基本的にはセキュリティリスクが高くないとは言えない気がしますし、新規に作成するWebサイトであればこうした抜け穴を作ることがSSLのデメリットを上回るとは思えません。 (既にあるWebサイトでは、修正費用がかかることもデメリットの1つかと考えます。)

2

SSL 経由で入手されていないコンテンツ内にログインフォームが見えている場合、そのログインフォームは既に攻撃者の手によって丸々取り替えられている可能性があり、さらに、それを検証する簡単な方法がありません。途中で聞き耳をたてて通信を傍受されるなどよりも直接的な方法によって情報が盗まれ得ますから、質問で示されたような懸念は存在していると言えます。

SSL を使用することによるにするデメリットは主に、ハンドシェイク時の負荷と遅延、そして費用です。しかしながら、専用回線だけを通さずインターネットも介して情報を交換するサイトにおいては、それらのデメリットがセキュリティを犠牲にする理由にはなるとは考えにくいことです。

質問で上げられたような構造になっているサイトの意図はわかりません。SSL も完全に安全な仕組みではありませんから、中途半端に守りを入れない方針だったりするのかもしれません。または、慣例的にそういうデザインになっているのではないでしょうか。慣例がセキュリティよりも優先している所もあるでしょう。あとは、単純にめんどくさいからとか?

2

外から原因を判別する手段はないので経験からくる推測ですが、
他でURLを広報してしまって取り返しがつかないのはよくあるパターンですね。
広報関係者がURL表記に強いとは限らないので。

出版物もそうですが、外部メディアやユーザーのブックマークに
長期間残ると考えると簡単にはNot Foundに出来ません。

下手に対応すると「嘘URLを広報した」や「ログイン出来ない」的なクレームが入ります。
ユーザーの少ない個人系や小規模なサイトならともかく、企業サイト等の規模になると
いくらフォローしても外部のリンクを見捨てるような対応が簡単にはできなくなります。
(特にディレクトリ部分の綴りミスはよく泣きつかれます。)

昔はプロトコル(https)部分のミスで、ステルスにリダイレクト出来るようになるまで
ログインページをhttpとhttpsで並行運用していたという事例も有りました。

おそらく大手のサイトではとりあえずの応急処置はされていると思います。(完璧かどうかは別として)
サーバー上の改竄対策は運用している所のセキュリティ次第です。

放置されている部分もアクセスが継続して存在するのか
単に担当者がセキュリティを理解していないか
それともそこまでコストを掛けるほどのセキュリティが必要でないか
といった様々な要因が考えられるので特定はできませんね。

ちなみに信頼出来ない環境(無料公開のwi-fi等)からアクセスした場合を前提とするなら
DNS改竄から偽ログインページまで構築されている場合と同じ事が言えます。
つまり「そんな場所からログインするな!」と…

2
  • DNS改竄や偽ログインページについては、SSLでサイト全体をカバーしていればブラウザの警告やURLの検証によって、(ユーザのリテラシー次第ということで完璧とはいかないまでも)防御が可能ではないですか?
    – 3100
    Commented 2015年1月7日 1:48
  • 言葉足らずで誤解されたようですね。申し訳ありません。 「DNSの改竄」と対応した「偽のログインページのあるサーバー」をセットで用意されている場合です。 初歩的な攻撃であればその方式でも防御出来ますね。 DNSを改竄されると同じURLでも別のサーバー上にあるサイトを表示できますし、 エラーを吐かない証明書を何かの手段で設置されてると気づきにくいです。 防御を考えるなら正式なサーバーに辿り着く前に攻撃を仕込まれる可能性も減らしてください。 アクセスポイントや使用する情報機器側のセキュリティとかね。 ユーザー自身のセキュリティも重要なのです。 正式なサーバー管理者はサーバー側での対策しかできませんから、 両者が揃ってセキュリティ対策しないと思うような効果は出ません。 Commented 2015年1月7日 11:12
1

例えば、とりあえずスモールスタートで http で始めて、紙などの広告触媒で http で印刷してばら撒くなどして導線を確立してしまい、その後 https の対応を慌ててやったような場合は、ご質問にあるような状態がありえるような気がします。(つまり技術とはあんまし関係ない理由で、ですかね。。)

が、なんとなく「ある程度規模の大きなサイト」になれば http へのアクセスを https に無言でリダイレクトさせるような作りになっていくような気もしますので、「ある程度」に段階があるんじゃないかな、と想像します。(twitterなんかも最初はなにもかもだだ漏れだったような記憶があります)

0

保護する必要がないケースとして、イントラネットに限った利用が考えられます。

この場合、セキュリティの担保はOSのログイン認証や、マシンルームに対する物理的な施錠によって行われることになります。

3
  • なぜマイナス評価がついたのか分からないのですが、分かる方どなたか教えてもらえないでしょうか。 質問者様が、イントラネット上のサービスを見て不思議に思っている可能性は十分あると思うのですが。 またこのような事例が多い証左として、歴代のInternet Explorer 設定画面における、イントラネットを特別扱いする設定の複雑さを挙げることが出来ます。 イントラネットを特別扱いするユーザーニーズが存在するからこそ、色々と設定できるようになっているわけです。
    – Lighten
    Commented 2015年1月6日 14:03
  • 最初からSSLを利用していないならともかく、ログイン自体はSSLなのにログインページは保護されていないという状態はイントラネットであっても不自然だと思います。ちなみに私が見かけた例はイントラネットではなくWWW上のサイトです。
    – h2so5
    Commented 2015年1月6日 15:37
  • 不自然なのは同感ですし、程度の低い状況だと思います。 しかしセキュリティ上の問題があるかどうかは、別の問題だと私は考えて回答しました。 マイナス評価の理由は理解できました。ありがとうございました。
    – Lighten
    Commented 2015年1月7日 0:12

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。