security - ユーザー名/パスワードをRSSフィードURLに埋め込む場合、セキュリティに影響はありますか？

Question

FogBugz RSSフィードをiGoogleページに追加したときに、ユーザー名とパスワードをフィードURLに埋め込む必要があることに気付きました。では、これを行うことに関連するセキュリティリスクはありますか？

編集：はい、私の質問にはhttpsと、URLのクエリ文字列部分が暗号化されているかどうかを具体的に記載する必要があります。

Answer 1

HTTPS URLでない場合は、はい。

そうでない場合は、アカウントがまだ侵害されているわけではありませんが、暗号化されていないチャネルを介して認証情報を送信しています...あなたはそれを求めています。

HTTPSの場合は、問題ありません。HTTPSURLは暗号化されています。

Answer 2

URL内の機密情報は、ユーザーのブラウザ、Webサーバー、2つのエンドポイント間のフォワードプロキシサーバーまたはリバースプロキシサーバーなど、さまざまな場所に記録される可能性があります。URLは、画面に表示したり、ブックマークしたり、ユーザーがメールで送信したりすることもできます。オフサイトリンクをたどると、リファラーヘッダーを介してサードパーティに開示される場合があります。セッショントークンをURLに配置すると、攻撃者によってキャプチャされるリスクが高まります。