3087


SSLで保護されたログインページはあるものの、保護されていないトップページなどにもログインフォームが存在するサイトをたまに見かけます。

このような状態だとフォーム内容のPOSTリクエスト自体はSSLで保護されていますが、ログインフォームそのものが改竄されたページに誘導された場合に、入力した情報が盗まれる可能性があると思います。(いわゆるフィッシング)

ある程度規模の大きなサイトでも例があるので何か理由があるのではないかと思っていたのですが、
これはセキュリティリスクがそこまで高くないということなのか、あるいはSSLにするデメリットが大きいのでしょうか。


CC BY-SA 3.0
2015-01-03T15:23:55.127
2998
2015-01-07T00:06:24.620
3639
question
security ssl http
SSLで保護されていないページにログインフォームが存在するサイトについて


例えば、とりあえずスモールスタートで http で始めて、紙などの広告触媒で http で印刷してばら撒くなどして導線を確立してしまい、その後 https
の対応を慌ててやったような場合は、ご質問にあるような状態がありえるような気がします。(つまり技術とはあんまし関係ない理由で、ですかね。。)

が、なんとなく「ある程度規模の大きなサイト」になれば http へのアクセスを https
に無言でリダイレクトさせるような作りになっていくような気もしますので、「ある程度」に段階があるんじゃないかな、と想像します。(twitterなんかも最初はなにもかもだだ漏れだったような記憶があります)


CC BY-SA 3.0
2015-01-03T16:23:48.790
3001
2015-01-03T16:23:48.790
2992
2998
answer


SSL
経由で入手されていないコンテンツ内にログインフォームが見えている場合、そのログインフォームは既に攻撃者の手によって丸々取り替えられている可能性があり、さらに、それを検証する簡単な方法がありません。途中で聞き耳をたてて通信を傍受されるなどよりも直接的な方法によって情報が盗まれ得ますから、質問で示されたような懸念は存在していると言えます。

SSL
を使用することによるにするデメリットは主に、ハンドシェイク時の負荷と遅延、そして費用です。しかしながら、専用回線だけを通さずインターネットも介して情報を交換するサイトにおいては、それらのデメリットがセキュリティを犠牲にする理由にはなるとは考えにくいことです。

質問で上げられたような構造になっているサイトの意図はわかりません。SSL
も完全に安全な仕組みではありませんから、中途半端に守りを入れない方針だったりするのかもしれません。または、慣例的にそういうデザインになっているのではないでしょうか。慣例がセキュリティよりも優先している所もあるでしょう。あとは、単純にめんどくさいからとか？


CC BY-SA 3.0
2015-01-03T17:17:24.443
3003
2015-01-03T17:39:57.473
2015-01-03T17:39:57.473
4978
4978
2998
answer


`OWASP`というWebアプリケーションのセキュリティに関するガイドラインを公開している団体があります。その指針によれば

> The login page and all subsequent authenticated pages must be exclusively
> accessed over TLS. The initial login page, referred to as the "login landing
> page", must be served over TLS. Failure to utilize TLS for the login landing
> page allows an attacker to modify the login form action, causing the user's
> credentials to be posted to an arbitrary location.

[Transport Layer Protection Cheat Sheet -
OWASP](https://www.owasp.org/index.php/Transport_Layer_Protection_Cheat_Sheet)

と書かれてあり、要するにログインページがhttpのままではHiroshi
Yamamotoさんの仰っているようにログインフォームが書き換えられている場合の検証ができません。

また、ネットワーク経路が汚染されている場合も危険です。例えば公衆WiFiを利用していて管理者が悪意を持っている場合に、入力した情報は筒抜けになります。この部分については`Fiddler`を用いたキーロガーのシミュレーションをやっている以下の記事が個人的には参考になりました。

[Troy Hunt: Your login form posts to HTTPS, but you blew it when you loaded it
over HTTP](http://www.troyhunt.com/2013/05/your-login-form-posts-to-https-but-
you.html)

なぜこうしたWebサイトがちまたに存在するかについては私の立場では完全に憶測になりますので、他の方の回答に委ねます。

が、基本的にはセキュリティリスクが高くないとは言えない気がしますし、新規に作成するWebサイトであればこうした抜け穴を作ることがSSLのデメリットを上回るとは思えません。
(既にあるWebサイトでは、修正費用がかかることもデメリットの1つかと考えます。)


CC BY-SA 3.0
2015-01-05T01:48:41.803
3087
2015-01-05T03:20:42.867
2015-01-05T03:20:42.867
3313
3313
2998
answer


保護する必要がないケースとして、イントラネットに限った利用が考えられます。

この場合、セキュリティの担保はOSのログイン認証や、マシンルームに対する物理的な施錠によって行われることになります。


CC BY-SA 3.0
2015-01-05T04:04:00.063
3095
2015-01-05T04:04:00.063
4391
2998
answer


外から原因を判別する手段はないので経験からくる推測ですが、  
他でURLを広報してしまって取り返しがつかないのはよくあるパターンですね。  
広報関係者がURL表記に強いとは限らないので。

出版物もそうですが、外部メディアやユーザーのブックマークに  
長期間残ると考えると簡単にはNot Foundに出来ません。

下手に対応すると「嘘URLを広報した」や「ログイン出来ない」的なクレームが入ります。  
ユーザーの少ない個人系や小規模なサイトならともかく、企業サイト等の規模になると  
いくらフォローしても外部のリンクを見捨てるような対応が簡単にはできなくなります。  
(特にディレクトリ部分の綴りミスはよく泣きつかれます。)

昔はプロトコル(https)部分のミスで、ステルスにリダイレクト出来るようになるまで  
ログインページをhttpとhttpsで並行運用していたという事例も有りました。

おそらく大手のサイトではとりあえずの応急処置はされていると思います。(完璧かどうかは別として)  
サーバー上の改竄対策は運用している所のセキュリティ次第です。

放置されている部分もアクセスが継続して存在するのか  
単に担当者がセキュリティを理解していないか  
それともそこまでコストを掛けるほどのセキュリティが必要でないか  
といった様々な要因が考えられるので特定はできませんね。

ちなみに信頼出来ない環境(無料公開のwi-fi等)からアクセスした場合を前提とするなら  
DNS改竄から偽ログインページまで構築されている場合と同じ事が言えます。  
つまり「そんな場所からログインするな！」と…


CC BY-SA 3.0
2015-01-06T09:49:14.353
3183
2015-01-07T00:06:24.620
2015-01-07T00:06:24.620
5479
5479
2998
answer