SSLを要するモバイル環境でのパスワードマネージャの使い方に注意Basic認証の話この日記にSSLを導入した*1。OS版のSafari)からしか使えない*2*3。これにより、外出先の公衆無線LANからでも日記を編集できるようになった。ままBasic認証を使っていた。パスワードが生のまま送信されるが、自宅の通信環境はまあ信頼できるので、(その先の通信路上で盗聴されるリスクがあるにしても)リスクは受容できると考えてきた。外出先で公衆無線LANを使うとなると、そのリスクは受容できない。アクセスを必要としていた。今回SSLを導入したので、このまま自宅のコンピュータを外に持ち出して公衆無線LANにつないでよいかというと、そうではない。自宅でログインした後に、ブラウザを終了しないで、公衆無線LANにつないだとすると、ブラウザが覚えているBasic認証のパスワードが自動的に送信されてしまうからだ。アクセスする」という使い方では防げない。アクセスせざるを得ない。画面にリダイレクトさせられてしまう可能性があるからだ。そのときリダイレクトでジャンプした瞬間にパスワードが生で送出され、盗聴されてしまう。行うようにしておくのが正しい*4。いっても、一般の利用者にとってこの話は難しすぎるので、一般向利用者けにBasic認証を提供するのはやめた方がよいだろう。パスワードマネージャの話これに類する話として、ブラウザのパスワードマネージャの使い方にも注意が必要である。mixiのログイン画面(図1)はどう使うのが正しいだろうか。図1(上)のログインボタンの下に「SSL(https)はこちら」というリンクがある。これをクリックするとアドレスバーが同図(下)のようになる。これはどう活用するのが正しいか。画面(図1下)になったのを目視確認してからパスワードを入力するようにする。Webサイト運営者側はそのつもりでこのようにしている。問題はWebブラウザに搭載されているパスワードマネージャ機能の使い方である。画面でログインしたとしよう。ログインしたときは、ブラウザの上部が図2のようになり、入力したパスワードをパスワードマネージャに記憶させるか否かを尋ねられる。パスワードマネージャの「このパスワードを記憶させますか?」ここで「記憶する」ボタンを押して、パスワードをブラウザに覚えさせた場合どうなるか。これを押すと、次回以降、ログイン画面で図3のように、自動的にユーザ名とパスワードが入力欄に挿入されるようになる。Chrome等の場合)。いうことは、この操作をしたコンピュータは、公衆無線LANなどでの接続を許すと、パスワードを盗まれるということだ。表示されているが、これは見た目がそうなっているだけで、入力欄にはちゃんとパスワードの文字列が挿入されていて、ページ内のJavaScriptから参照すればパスワード文字列を読み出せる状況になっている。通常ならば、サイト運営者以外にはそのような読み出しはできないわけだが、公衆無線LANで接続している場合は違う。通信路上に介入した盗聴者によって、画面のHTMLを改竄されれば、パスワードを読み出すJavaScriptを埋め込まれてしまう。いうわけで、どうすればよいかというと、次のようになる。画面で入力したパスワードをパスワードマネージャには記憶させないよう注意する必要がある。画面で入力したパスワードについては、パスワードマネージャに記憶させてもよい。ログインしたときのパスワードマネージャの「このパスワードを記憶させますか?」の問いに対し、「このサイトでは記憶しない」を選択してしまえば、次回以降、この問いが出ることはなくなる。画面で入力したパスワードをパスワードマネージャに記憶させることはできる。パスワードマネージャを使うことが許容される状況(そのコンピュータが自分専用)で、パスワードマネージャを使うつもりであるなら、いっそ、mixiのような構成のログイン画面では、自宅にいるときも含めて常に「SSL(https)はこちら」をクリックしてログインするようにするのがよいだろう。一度パスワードを記憶させれば2クリックでログインできる。Explorerの場合は、上記のような注意が必要でない。IEでは、パスワードマネージャにパスワードを記憶させても、ページを訪れただけでは自動入力されないからだ。ユーザ名を手作業で入力したときだけ、パスワードが自動入力されるようになっている。図4のように、ユーザ名入力欄でクリックすると、覚えているユーザ名をメニューから選べるようになっており、ユーザ名を選択すると対応するパスワードが自動入力される。パスワードをパスワードマネージャに記憶させても、公衆無線LANでつながっても、ユーザ名を入力しないようにしていれば、パスワードを盗まれることがない。ページに移動してから入力すればよい。Handbook」という文書にもまとめられている。managers」のところに表がある。load」と書かれている。action」となっていて、また別の方式のようだ。only?」が赤字で「NO」と書かれている。ページにアクセスしたときにも自動入力されてしまうという意味だろう。現状のAndroidでは(おそらく近々修正されるのだろうが)、パスワードマネージャは使用してはいけない(信頼できない通信環境も使う可能性がある場合には)。SSLを導入したという話がニュースになっていた。2008年12月15日しかし、いったいどこのページに行けば、緑のアドレスバーで会社名を見ることができるのだろうか。