一般に提供されている任意のWebアプリケーションについて、こちらのクレデンシャル(パスワードなど)をデータベースに保存する際に暗号化しているかどうかを、開発者側からでは無くユーザー側から確認できる手段は存在しますか?
-
いわゆる「ログイン」機構を持つ Web アプリケーションなら何らかのデータをデータベースに保存しているのは、確認するまでも無くほぼ間違いないわけです。訊きたいのは保存の際に「暗号化しているか否か」でしょうか?– 774RR2017年8月30日 0:03
-
文章がおかしいので修正しました。意図は変えていないつもりですがもし変わってるようならロールバックしてください– suzukis2017年8月30日 0:20
-
774RRさんのおっしゃる通り、保存の際に暗号化されているかを調べたいと考えていました。以前、emailアドレスとパスワードを入力させるサービスが、平文でデータベースに保存した上で、サービスを終了させ、悪用したというニュースを見たために、一般的な利用者が暗号化されているかを確認できればと思い質問させていただきました。– 中平浩太2017年8月30日 3:16
-
suzukisさん。文章の改変ありがとうございました。– 中平浩太2017年8月30日 3:22
1 件の回答
ユーザといってもどういう立場なのかで違いますが
悪意あるユーザー(クラッカー)として盗みやすいサイトを探している、のであればこの場でお手伝いしないほうが良さそうです。
一般ユーザーとして「このサイトにパスワードを登録して漏れないかを心配している」のであれば
一番簡単には「パスワードを忘れた」画面で、サイト側がどういう挙動を示すかで調査することができるでしょう。
「現パスワードがメールで届く」サイトはパスワードを平文保存していると考えてよいです(非可逆変換していれば Web アプリケーション自体も元パスワードを知ることができないため)セキュリティ意識0なので近づかないほうが良さそうです。
「新しいパスワードはこれです」をメールで送ってくるサイトは(パスワードをきっちり非可逆変換して保存しているにせよ)セキュリティ意識が薄いと考えてよいです。
「このメールが届いてから*分以内に添付 URL にアクセスしたら新パスワードを設定できます」だったらそこそこ信頼してよいでしょう。当該 URL が https の場合に限ります。
サイト側がどんな言語やデータベースで Web アプリを組んでいてどうこう、を調査する行為はそのままアタック行為ですから、試すなら相手の了解を取ってから。
-
774RRさん。早速のご回答ありがとうございます。もちろん悪意のあるユーザー視点では無く、一般的なユーザーからの観点での質問でした。そのWebアプリを本当に信頼してパスワードを入力して良いかを調べるためにはどのような手段を用いれば良いかを知りたいと思いご質問させていただきました。やはり、技術的な観点から判断するのは難しいのですね、こちらが持ちうる判断材料を、持って、主観的に判断する他無いという事ですね。– 中平浩太2017年8月30日 3:18
-
普通に Web client/server 間で http/https を喋っているだけで client (=ユーザ、悪意があるかもしれない) に Web アプリ側の構成が知られてしまうようであれば、それだけで既に Web アプリの脆弱性ですからね。真っ当にセキュリティ対策されているサイトであれば、その内側を The Internet 側から知るのは困難であるのが普通です。– 774RR2017年8月30日 4:06
-