HTTP を通じてログインフォームを提供することは、ユーザーのパスワードを暴くための広範にわたる攻撃に対して特に危険です。ネットワークの盗聴者は、ネットワークを覗き見たり、転送によって提供されたページを変更したりしてユーザーのパスワードを盗むことができます。このページでは、安全でないパスワードやパスワード窃盗にまつわるリスクをユーザーや開発者に警告するために、 Firefox が講じているセキュリティメカニズムについて詳しく説明しています。

HTTPS プロトコルは、ネットワーク上での盗聴 (機密性) や改ざん (完全性) といった脅威から、ユーザーのデータを保護できるように設計されています。ユーザーのデータを扱うウェブサイトは、ユーザーを攻撃者から守るために HTTPS を使用してください。 HTTPS を使わなければ、ユーザーの情報 (ログインの資格情報など) が盗まれるのは当たり前になってしまいます。このことを Firesheep が証明したのは有名です。

この問題を修正するためには、 SSL/TLS 証明書をサーバーにインストールし構成してください。様々なベンダーが無料または有料の証明書を提供しています。クラウドプラットフォームを使用しているのであれば、 HTTPS を有効にする方法を独自に持っているかもしれません。

Firefox のパスワードセキュリティ表示

上記の脅威を知らせるため、 Firefox は数多くの警告の仕組みを実装しています。

  1. Firefox 51 以降は以下のように、ログインページが安全な接続で提供されていない場合は、赤い斜線が入った錠アイコンを表示します。

    錠アイコン

  2. Firefox 52 以降は、安全ではないフォームの URL バーとフォーカスが与えられたパスワード入力欄の下側に、明確な警告を表示します。

    警告

  3. Firefox 52 以降は、安全ではないログインフォームでオートフィルを無効にもしました。ユーザーは保存されたログイン情報をドロップダウンから手動で自動補完させることができます。

  4. 安全でないログインフォームについての警告は、次の説で説明するように、すべての Firefox リリースの開発者コンソールのセキュリティパネルでも見ることができます。

ウェブコンソールのメッセージ

この節では、安全ではないパスワードのレスポンスとして、 Firefox 開発者ツールの開発者コンソールに表示されるセキュリティメッセージを説明します。

HTTP によるログインフォームの提供

たとえ form 要素の action 属性に指定された URL が HTTPS であったとしても、ユーザーのログインフォームは保護されません。なぜなら、これからユーザーが受信するページを攻撃者が書き換えることができるからです (例えば、ユーザーの入力を記録するスクリプトを挿入できたり、機微なデータの送信先を攻撃者の管理するサーバに変更できたりします)。ウェブコンソールのセキュリティ通知欄には、この問題に対する警告が以下のように表示されます。

ウェブコンソールに見られる安全ではないログインフォームと、パスワード入力欄における警告

メモ: HTTP 文書に埋め込まれた HTTPS のログインページも安全ではありません。 — 攻撃者はフォームの URL を、悪意のあるサイトを指すように変更することができるからです。

form の action 属性で HTTP の URL を使用する場合

この場合、ユーザーが入力したあらゆるデータはネットワーク上を平文で流れます。ユーザーが入力したそのパスワードは、ユーザーのコンピューターを離れてウェブサーバに届くまでの間、ネットワークを盗み見している全員がはっきりと読み取ることができます。

ウェブコンソールに見られる安全ではないログインフォームと、パスワード入力欄における警告

パスワードの使いまわしに関するメモ

ウェブサイトがユーザー名とパスワードを求めても、実際には微妙なデータを保存しないことがあります。例えば、あるニュースサイトがユーザーが読み返したい記事を保存しても、ユーザーに関する他のデータを保存しない場合などです。ニュースサイトのウェブ開発者は、サイトやユーザーの認証情報を安全にする必要があるとはあまり考えないかもしれません。

残念ながら、パスワードの使い回しは大きな問題です。ユーザーは複数のサイト (ニュースサイト、SNS、メールサービス、銀行) で同じパスワードを使用します。つまり、サイトが管理するユーザー名とパスワードに何者かがアクセスしたところで、自分たちに大きなリスクがあると思えなくとも、銀行のウェブサイトでも同じパスワードでログインしているユーザーーにとっては非常に大きなリスクなのです。攻撃者はより賢くなっており、一つのサイトでユーザ名とパスワードの組を盗んだ後には、より金目のあるサイトに同じ組でログインできないか試しているのです。

関連情報

ドキュメントのタグと貢献者

このページの貢献者: mfuji09, horichiyo, hashedhyphen
最終更新者: mfuji09,