Serviceを読んで理解し、同意したものとみなします。スタック・オーバーフローはプログラマーとプログラミングに熱心な人のためのQ&Aサイトです。2,819件113SSLで保護されたログインページはあるものの、保護されていないトップページなどにもログインフォームが存在するサイトをたまに見かけます。このような状態だとフォーム内容のPOSTリクエスト自体はSSLで保護されていますが、ログインフォームそのものが改竄されたページに誘導された場合に、入力した情報が盗まれる可能性があると思います。これはセキュリティリスクがそこまで高くないということなのか、あるいはSSLにするデメリットが大きいのでしょうか。票9OWASPというWebアプリケーションのセキュリティに関するガイドラインを公開している団体があります。Yamamotoさんの仰っているようにログインフォームが書き換えられている場合の検証ができません。ネットワーク経路が汚染されている場合も危険です。公衆WiFiを利用していて管理者が悪意を持っている場合に、入力した情報は筒抜けになります。この部分についてはFiddlerを用いたキーロガーのシミュレーションをやっている以下の記事が個人的には参考になりました。HTTPなぜこうしたWebサイトがちまたに存在するかについては私の立場では完全に憶測になりますので、他の方の回答に委ねます。基本的にはセキュリティリスクが高くないとは言えない気がしますし、新規に作成するWebサイトであればこうした抜け穴を作ることがSSLのデメリットを上回るとは思えません。(既にあるWebサイトでは、修正費用がかかることもデメリットの1つかと考えます。経由で入手されていないコンテンツ内にログインフォームが見えている場合、そのログインフォームは既に攻撃者の手によって丸々取り替えられている可能性があり、さらに、それを検証する簡単な方法がありません。途中で聞き耳をたてて通信を傍受されるなどよりも直接的な方法によって情報が盗まれ得ますから、質問で示されたような懸念は存在していると言えます。使用することによるにするデメリットは主に、ハンドシェイク時の負荷と遅延、そして費用です。専用回線だけを通さずインターネットも介して情報を交換するサイトにおいては、それらのデメリットがセキュリティを犠牲にする理由にはなるとは考えにくいことです。質問で上げられたような構造になっているサイトの意図はわかりません。完全に安全な仕組みではありませんから、中途半端に守りを入れない方針だったりするのかもしれません。慣例的にそういうデザインになっているのではないでしょうか。慣例がセキュリティよりも優先している所もあるでしょう。他でURLを広報してしまって取り返しがつかないのはよくあるパターンですね。広報関係者がURL表記に強いとは限らないので。Foundに出来ません。下手に対応すると「嘘URLを広報した」や「ログイン出来ない」的なクレームが入ります。ユーザーの少ない個人系や小規模なサイトならともかく、企業サイト等の規模になるといくらフォローしても外部のリンクを見捨てるような対応が簡単にはできなくなります。(特にディレクトリ部分の綴りミスはよく泣きつかれます。)昔はプロトコル(https)部分のミスで、ステルスにリダイレクト出来るようになるまでログインページをhttpとhttpsで並行運用していたという事例も有りました。大手のサイトではとりあえずの応急処置はされていると思います。(完璧かどうかは別として)サーバー上の改竄対策は運用している所のセキュリティ次第です。放置されている部分もアクセスが継続して存在するのか単に担当者がセキュリティを理解していないかそれともそこまでコストを掛けるほどのセキュリティが必要でないかといった様々な要因が考えられるので特定はできませんね。ちなみに信頼出来ない環境(無料公開のwi-fi等)からアクセスした場合を前提とするならDNS改竄から偽ログインページまで構築されている場合と同じ事が言えます。1:48言葉足らずで誤解されたようですね。「DNSの改竄」と対応した「偽のログインページのあるサーバー」をセットで用意されている場合です。初歩的な攻撃であればその方式でも防御出来ますね。エラーを吐かない証明書を何かの手段で設置されてると気づきにくいです。防御を考えるなら正式なサーバーに辿り着く前に攻撃を仕込まれる可能性も減らしてください。アクセスポイントや使用する情報機器側のセキュリティとかね。ユーザー自身のセキュリティも重要なのです。両者が揃ってセキュリティ対策しないと思うような効果は出ません。対応を慌ててやったような場合は、ご質問にあるような状態がありえるような気がします。(つまり技術とはあんまし関係ない理由で、ですかね。無言でリダイレクトさせるような作りになっていくような気もしますので、「ある程度」に段階があるんじゃないかな、と想像します。|0保護する必要がないケースとして、イントラネットに限った利用が考えられます。この場合、セキュリティの担保はOSのログイン認証や、マシンルームに対する物理的な施錠によって行われることになります。個の銅バッジなぜマイナス評価がついたのか分からないのですが、分かる方どなたか教えてもらえないでしょうか。質問者様が、イントラネット上のサービスを見て不思議に思っている可能性は十分あると思うのですが。設定画面における、イントラネットを特別扱いする設定の複雑さを挙げることが出来ます。イントラネットを特別扱いするユーザーニーズが存在するからこそ、色々と設定できるようになっているわけです。14:03最初からSSLを利用していないならともかく、ログイン自体はSSLなのにログインページは保護されていないという状態はイントラネットであっても不自然だと思います。ちなみに私が見かけた例はイントラネットではなくWWW上のサイトです。15:37不自然なのは同感ですし、程度の低い状況だと思います。セキュリティ上の問題があるかどうかは、別の問題だと私は考えて回答しました。マイナス評価の理由は理解できました。ありがとうございました。|回答スタック・オーバーフローに参加してくれて、ありがとうございます!質問の回答を共有してください。回答を説明し、自分の検討結果も共有してください。意見を述べること(意見を述べるなら、参照リソース、自分の経験で意見をサポートしてください)さらにサポートが必要な場合このヘルプを参考してください。“回答を投稿”をクリックすることで利用規約、プライバシーポリシー、及びクッキーポリシーに同意したものとみなされます。タグが付いた他の質問を参照するか、自分で質問をする。保護されていないビデオのコンテンツが再生されない3.NETのWebBrowserでSSLクライアント認証が必要なページを表示できない1SSL証明されたディレクトリ配下にあるHTMLファイルでSSL証明が上手く適応できない1apacheでのSSL(SNI)設定について0C#でTCP、SSL通信を行いたいです。質問のフィードこのRSSフィードを購読するには、このURLをコピーしてRSSリーダーに貼り付けてください。