アカウント名:
パスワード:
携帯対応・変なファイヤーウォールを無視できるとして、今回の件では関係ないものもありますが、対策はこんな感じでしょうか。専門家の方もxxはyyが悪いというばかりで、対策をまとめてくれないのでよくわからんのですよね。ベーシック認証、クライアント証明は考慮外です。
step0: ログインIDとパスワードをURLに含めて持ち歩くのをやめるstep1: パスワード送信をPOSTにしてPOSTのみ受け付けるstep2: ログイン画面以外は、パスワードを利用せずにcookieを使うstep3: 全コンテンツでTLS・有効で信頼済みの認証局発行のサーバー証明書を使うstep4: cookieにはsecureフラグを
ログイン管理というより、管理用のページを誰でもアクセスできる公開サーバに設置したのが問題かなと思えます。
1.公開サーバと管理用のページがあるサーバを分ける。 外から絶対にアクセスできず、 VPN経由等でしかアクセスできないようなサーバにのみ管理用のページを設置する。 (複数代構成ができるならこんな感じ?)
2.それが無理なら、管理用のページをポートを変更したSSLを立ててIPアクセス制限 IPアドレス制限で接続元を縛る。 HTTPで情報をやり取りしたくないので、SSLで暗号化(この場合は暗号化が目的なのでオレオレ証明でも問題ない
オレオレ証明書を使うと暗号化の意味がないと思いますよ。
管理画面にアクセスするPCを制限できるのであれば、意味が無いこともないと思いますよ。アクセスする前にオレオレサーバ証明書なりオレオレCA証明書をそれらのPCにインストールしたり、フィンガープリントで確認する手順を徹底したりできるでしょうから。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家
webのログイン管理的なもの (スコア:3, 参考になる)
携帯対応・変なファイヤーウォールを無視できるとして、今回の件では関係ないものもありますが、対策はこんな感じでしょうか。
専門家の方もxxはyyが悪いというばかりで、対策をまとめてくれないのでよくわからんのですよね。
ベーシック認証、クライアント証明は考慮外です。
step0: ログインIDとパスワードをURLに含めて持ち歩くのをやめる
step1: パスワード送信をPOSTにしてPOSTのみ受け付ける
step2: ログイン画面以外は、パスワードを利用せずにcookieを使う
step3: 全コンテンツでTLS・有効で信頼済みの認証局発行のサーバー証明書を使う
step4: cookieにはsecureフラグを
Re: (スコア:0)
ログイン管理というより、管理用のページを誰でもアクセスできる公開サーバに設置したのが問題かなと思えます。
1.公開サーバと管理用のページがあるサーバを分ける。
外から絶対にアクセスできず、
VPN経由等でしかアクセスできないようなサーバにのみ管理用のページを設置する。
(複数代構成ができるならこんな感じ?)
2.それが無理なら、管理用のページをポートを変更したSSLを立ててIPアクセス制限
IPアドレス制限で接続元を縛る。
HTTPで情報をやり取りしたくないので、SSLで暗号化(この場合は暗号化が目的なのでオレオレ証明でも問題ない
Re:webのログイン管理的なもの (スコア:0)
オレオレ証明書を使うと暗号化の意味がないと思いますよ。
なぜなら、パケットを盗聴できる状況ではMIM攻撃でパスワードを盗むことも可能でしょうから。
Re:webのログイン管理的なもの (スコア:1)
オレオレ証明書を使うと暗号化の意味がないと思いますよ。
管理画面にアクセスするPCを制限できるのであれば、意味が無いこともないと思いますよ。アクセスする前にオレオレサーバ証明書なりオレオレCA証明書をそれらのPCにインストールしたり、フィンガープリントで確認する手順を徹底したりできるでしょうから。