http経由で送信されるパスワードの攻撃方法は何ですか？

ログインを必要とするWebサイトのSSLを支払うように顧客を説得しようとしています。送信されているパスワードが誰かに見られる可能性がある主なシナリオを正しく理解したいと思います。

私の理解では、途中のどのホップでもパケットアナライザーを使用して何が送信されているかを表示できます。 これには、ハッカー（またはそのマルウェア/ボットネット）が、パケットが宛先に到達するために通過するホップのいずれかと同じサブネット上にある必要があるようです。そうですか？

このサブネット要件のいくつかのフレーバーが当てはまると仮定すると、すべてのホップまたは最初のホップのみについて心配する必要がありますか？誰もが傍聴している可能性があるため、パブリックWifiネットワーク上にあるかどうかを最初に心配することができます。 パケットがこの外部を通過するサブネットで何が起こっているのか心配する必要がありますか？ ネットワークトラフィックについてはわかりませんが、主要な通信事業者のデータセンターを通過していて、そこには多くのジューシーな攻撃ベクトルがないと思いますが、間違っている場合は修正してください。

パケットアナライザーで聞いている誰かの外で心配される他のベクトルはありますか？

私はネットワーキングとセキュリティの初心者なので、このいずれかで間違った用語を使用している場合は、遠慮なく設定してください。

他の人がここで言及しなかったことに注意する必要があるのは、一部のブラウザはフォームデータをキャッシュするということです。SSLサイトのデフォルトの動作では、「パスワードを保存する」を選択しない限り、通常は何もキャッシュしません。通常、パスワードフィールドはとにかくキャッシュされませんが、いくつかの奇妙な点を見ました（通常、クレジットカード情報です。これは、質問のトピックではありません）。

もう1つ注意すべき点は、SSL暗号化はTCPハンドシェイクから始まるということです。SSLを使用すると、HTTP over SSLとFTP over SSLを区別できなくなります（ポート番号を介して行われる仮定を除く）。

また、ログインリクエストと「閲覧しているだけ」のリクエストを区別することはできません。これにより、ページフローがハッカーの可能性から難読化され、パスワードデータだけでなく、閲覧履歴/ Cookieデータ/やその他すべてが安全になります。アカウントに付随する個人情報。

オールインオールスペクトルから中間者攻撃を排除すれば、潜在的な攻撃の多くを削減できますが、サイトが「安全」であるとは限りません。また、ゾーニングポリシーは、ユーザーがサイトからリダイレクトされた場合にゾーンを変更するため、XSS攻撃から保護するのに役立ちます。

データは、最初または最後のステージだけでなく、ルート上のどこでも脆弱です。転送に関与するシステムがユーザー名、パスワード、その他の機密データを検索することはかなり考えられます。したがって、機密データは、完全に保護されたリンク上を移動するだけでよく、もちろんSSLがまさにその目的です。含まれるデータによっては、SSLを規定する法律が存在する場合があります。

データを保存するプロキシサーバーがあります。

しかし、ユーザーのパスワードを安全に保つ義務もあります。多くのユーザーが使用するパスワードのセットは限られているため、安全でないサイトでは、たとえばホームバンクのパスワードが侵害される可能性があります。

あなたの分析は合理的です、私見。

注意すべきことは、パスにキャッシュが存在する可能性があるということです。したがって、リクエストがどこかでログに記録される可能性があります（特に、ログインがGETを超えている場合、これはひどいことです）。

おそらく考慮すべきことは、ほとんどのネットワークアクセスは、同じネットワーク上に他の人がたくさんいるエリアで行われるということです。主な例は、仕事/大学/学校です。心配する必要があるのは上向きのパスにすぎないため、自宅ではリスクが少ないと主張できます。

しかし、本当に、ここで問題はありません。ログイン時にSSLを使用します。おそらく、その人にとって最も説得力のある引数は、Webサイトがより信頼できるように見えることです。 。

しかし現実的にしましょう。ほぼ確実に、この攻撃ベクトルは彼のシステムまたはユーザーが侵害される方法ではありません。

HTH。

KevinMが自分の質問に答えるのに頭を悩ませていることに同意できます。JohnGardeniersは正しい方向を指しています。私はまた、「理想的には-一般の人々はSSLベースのログイン画面を持たないサイトにログインすることは決してないだろう」というシルキーの発言にも同意する必要があります。まったく。

私はシルキーのトーン（おそらく意図的ではない）に同意しません。それは、「一般大衆」が愚かであるという遍在的な認識につながります。KevinMのクライアントは明らかにSSLが必要であるという概念を持っておらず、それは簡単に言えばあなたの平均的な人です。彼らは愚かではなく、単に知りません。「これが必要」と言うと、「私はそれなしでx年生きてきたし、xはもっとうまく生きるだろう」という反応、またはおそらくもっと悪い反応「私は必要なことを言われたくない」ので注意してください！

あなたの懸念は正当です、ケビン。顧客にはSSL証明書が必要です。あなたの本当の関心は、それらをどのように売るかです。懸念されるのは、ユーザーのログインだけではなく、SSLによる保護からも恩恵を受ける管理者およびオペレーターのログインです。

はい、この点に関して、XSSなどのパケットスニッフィングよりもさらに多くのことを考慮する必要があります。それらは多数あり、十分に文書化されています。

パケットが続くルート全体で、HTTP経由でスニッフィングしてデータを見ることができる場合... TORのようにプロキシでHTTPを使用している場合でも...ハーベスト攻撃などを使用して プロキシをだましてデータパケットを漏洩させることができます...したがって、機密情報（パスワード、個人情報、プライベートイメージなど）の近くに何かがある場合は、HTTPS経由での転送にのみ適しています。

それも、HTTPSでも間違った実装の脆弱性があり、それらに対して適用可能なSSL攻撃がいくつかあります...慎重な実装でそれらを回避できます。

しかし、プレーンテキストにHTTPを使用することは、初心者の子供でもパスワードを盗聴するように誘うようなものです。