security - HTTP フォームから HTTPS への送信は安全ですか?

Question

http フォームから https 経由で送信することはできますか? 安全であるように思われますが、中間者攻撃を可能にします (ここに良い議論があります)。mint.comのように、http ページからサインインできるが、https 投稿を行うサイトがあります。私のサイトでは、リクエストは http ランディングページを持ち、安全にログインできるようにすることです。考えられるセキュリティリスクを冒す価値はありません。すべてのユーザーが安全なページにアクセスしてログインできるようにする (またはランディングページを安全にする) 必要がありますか?

score 53 · Accepted Answer

http ページから https ページにフォームを投稿すると、最も単純な条件で送信されるときに、フォーム内のデータが暗号化されます。中間者攻撃がある場合、ブラウザは警告します。

ただし、元の http フォームが中間者攻撃を受け、https ポストバックアドレスが攻撃者によって変更された場合、警告は表示されません。データは実際には暗号化されますが、中間者攻撃者は (最初にキーを送信したため) 復号化し、データを読み取ることができます。

また、フォームが他の手段 (スクリプト化された接続) を介して送信している場合、フォームが送信される前に、暗号化されていないデータが送信される可能性があります (ただし、優れた Web サイトでは、いかなる種類の機密データでもこれを行うことはありません)。 .

score 33 · Accepted Answer

トランザクション全体で HTTPS を使用しない理由はありますか? 良いものが見つからない場合は、それを使用してください。

プロトコルを切り替えるよりも間違いなく簡単です。
MITM リスクは現実のものです。
リンクをたどると、ユーザー「Helios」は、100% HTTPS を使用するとユーザーの混乱がはるかに少なくなるという優れた点を指摘しています。

score 16 · Accepted Answer

この種のことは、特にログインがオプションであるサイトでは、ネット全体に現れています。ただし、それは非常に微妙な理由で本質的に安全ではなく、ユーザーに誤った安心感を与えます。最近、 codinghorror.comにこれに関する記事があったと思います。

危険なのは、投稿ターゲットが「https：// xxx」のページを送信している間、その参照が発生するページは安全ではないため、攻撃者が転送中に変更して、攻撃者が任意のURLを指すようにする可能性があることです。願います。したがって、あなたのサイトにアクセスする場合は、ソースを表示して、自分の資格情報が安全なアドレスに投稿されていることを確認する必要があります。その確認は、その特定の送信にのみ関連します。明日戻った場合は、ソースをもう一度表示する必要があります。これは、ページの特定の配信が攻撃され、投稿ターゲットが破壊された可能性があるためです。毎回確認しないと、投稿ターゲットが破壊されたことがわかるまでに、遅すぎます-私はすでに自分の資格情報を攻撃者のURLに送信しました。

ログインページへのリンクのみを提供する必要があります。そして、ログインページとそれ以降のすべては、ログインしている限りHTTPSである必要があります。そして、実際には、そうしない理由はありません。SSLの負担は最初の交渉にあります。後続の接続はSSLセッションキャッシングを使用し、リンクデータに使用される対称暗号は実際には非常に低いオーバーヘッドです。

score 10 · Accepted Answer

IE ブログの説明:重大な間違い #1: HTTPS 以外のログインページ (HTTPS ページに送信した場合でも)

ユーザーは、フォームが HTTPS 経由で送信されていることをどのように知ることができますか? ほとんどのブラウザーには、そのような UI キューはありません。
ユーザーは、正しい HTTPS ページに移動したことをどのように知ることができますか? ログインフォームが HTTP 経由で配信された場合、サーバーとクライアントの間で変更されていないという保証はありません。

score 6 · Accepted Answer

Jay と Kiwi は、MITM 攻撃については正しいです。ただし、攻撃者がフォームを壊してエラーメッセージを表示する必要はないことに注意することが重要です。代わりに、攻撃者は JavaScript を挿入してフォームデータを 2 回送信することができます。

しかし、正直なところ、攻撃者がログインページを傍受し、飛行中に変更する可能性はどのくらいあるのでしょうか? （a）SSLセッションでMITM攻撃を実行し、ユーザーが「OK」を押して続行することを期待するリスクと比較してどうですか。(b) SSL への最初のリダイレクト (例: http://example.comからhttps://example.com ) でMITM を実行し、代わりに攻撃者の制御下にあるhttps://doma1n.comにリダイレクトします。 ; (c) サイトのどこかに XSS、XSRF、または SQL インジェクションの欠陥がある。

はい、SSL でログインフォームを実行することをお勧めします。そうしない理由はありません。しかし、そうでなかったとしても、あまり心配する必要はありません。

アップデート

上記の回答は 2008 年のものです。それ以来、多くの追加の脅威が明らかになりました。たとえば、WiFi ホットスポットなどのランダムな信頼できないネットワークからサイトにアクセスします (近くにいる人なら誰でもその攻撃を実行できる可能性があります)。はい、間違いなくログインページを暗号化し、さらにサイト全体を暗号化する必要があります。さらに、最初のリダイレクトの問題 (HTTP Strict Transport Security) に対する解決策が現在あります。Open Web Application Security Projectでは、いくつかのベストプラクティスガイドを利用できます。

score 2 · Accepted Answer

私 (エンドユーザーとして) にとって、HTTPS セッションの価値は、データが暗号化されていることだけでなく、スーパーシークレットを入力しているページが必要な場所から来ていることを確認できることです。に。

HTTPS 以外のセッションでフォームを使用すると、その保証が無効になります。

(私は知っています - これは、フォームが MITM 攻撃の対象であることを示す別の言い方です)。

score 2 · Accepted Answer

このポストが肝心です。はい、ユーザーのデータがあなたに送信された場合、データはどこかに安全に届きます。しかし、どこかがあなたのサイトになると信じる理由はありません。この時点で、攻撃者は各方向に移動するデータを傍受するだけではありません。彼はユーザーのセッションの反対側になります。あなたのサイトは、ユーザーがわざわざフォームを送信したことがないと考えるだけです。

score 1 · Accepted Answer

いいえ、HTTPからHTTPSに移行するのは安全ではありません。安全なチャネルを確立して利用するには、要求の発信元と結果のポイントがHTTPSである必要があります。

score 1 · Accepted Answer

ログインページへのリンクのみを提供することを提案する人は、MITM 攻撃を使用してリンクを簡単に変更できることを忘れているようです。

score 1 · Accepted Answer

上記のすべてで見落とされた最大のものの 1 つは、ログインをホームページに配置するという一般的な傾向があることです (User Experience Trends の巨大な傾向)。

ここでの大きな問題は、Google が正当な理由で安全なページを検索することを好まないことです。そのため、すべてのページを安全にしない理由を考えているすべての開発者は、ページを Google から見えなくしたい場合は、すべてを保護してください。そうでなければ、http から https に投稿するための 2 番目に良いオプションは、現時点で 2 つの悪のうち小さい方ですか?

score -2 · Accepted Answer

この質問の主な考慮事項は、ユーザーが知っている URL と、ブラウザーがデフォルトで代用するプロトコルスキーム (http:) に関係していると思います。

その場合、暗号化されたチャネルを確保したいサイトの通常の動作は、http://home-pageを https://home -pageにリダイレクトすることです。なりすまし / MitM の可能性は依然としてありますが、DNS ポイズニングによるものである場合、リスクは https: URL から開始する場合よりも高くありません。別のドメイン名が戻ってきた場合は、心配する必要があります。

これはおそらく十分に安全です。結局のところ、標的型の MitM の影響を受けている場合は、キーボードロガー、ローカルの HOSTS ファイル、およびシステムが既に所有されていることを含む安全なトランザクションを見つけるためのあらゆる種類の他の方法について心配し始めた方がよいでしょう。

security - HTTP フォームから HTTPS への送信は安全ですか?

11 に答える 11

アップデート

Related

Reference