- PR -

SSLで保護すべきページの範囲は？

1
投稿者投稿内容
Jumpin'' Jack Flash
大ベテラン
会議室デビュー日: 2006/01/24
投稿数: 198
投稿日時: 2006-07-15 03:42
割と常識的なことだと思うのですが、
自説に自信が持てなくなってきましたので
教えていただきたいのですが、

例えば、個人情報データなどをサーバーへ送信する際、
そのデータを改竄されないように、SSLのページを用意
しますが、

SSLであるべきは、どの範囲でしょうか？

１. 個人情報入力フォーム
　　↓POST
２. 例えばサーブレット（入力チェック等）
　　↓REDIRECT
３. 入力情報確認ページ
　　↓POST
４. 例えばサーブレット（DB登録等）
　　↓REDIRECT
５. 処理完了ページ

私は、１〜４だと思っているのですが、１がhttpsに
なっていないサイトをたまに見かけます。

よろしくお願いいたします。
unibon
ぬし
会議室デビュー日: 2002/08/22
投稿数: 1532
お住まい・勤務地: 美人谷　　　　　　　　良回答(20pt)
投稿日時: 2006-07-15 08:31
引用:

Jumpin' Jack Flashさんの書き込み (2006-07-15 03:42) より:
私は、１〜４だと思っているのですが、１がhttpsに
なっていないサイトをたまに見かけます。

過去記事の、
件名：鍵のアイコンが出ないＳＳＬのページ
http://www.atmarkit.co.jp/bbs/phpBB/viewtopic.php?topic=24379&forum=14
と同じ話題だと思います。

たしかに、昔は「１. 個人情報入力フォーム」が結構ありましたね。推測ですが、昔は今みたいにふんだんに https のサーバーが使えなくて、ここぞ、という時にしか使えなかったことが一因だろうと思います。しかし、もっとも大きな理由は、昔は、今みたいに人を疑う、ということがなかったことでしょう。https ではないページのほうをいじるなどといった知能犯のことを思いもつかなかったのでしょう。

--
unibon {B73D0144-CD2A-11DA-8E06-0050DA15BC86}
囚人
ぬし
会議室デビュー日: 2005/08/13
投稿数: 1019
投稿日時: 2006-07-15 12:22
引用:

私は、１〜４だと思っているのですが、１がhttpsに
なっていないサイトをたまに見かけます。

私も 1 はSSLにするのが常識だと思っていたのですが。
改竄されて、違うところに POST してしまったらどうするんでしょうね。

[ メッセージ編集済み 編集者: 囚人 編集日時 2006-07-15 12:24 ]
Jumpin'' Jack Flash
大ベテラン
会議室デビュー日: 2006/01/24
投稿数: 198
投稿日時: 2006-07-15 12:53
まず、過去ログを追跡できていなくて申し訳ございませんでした。

ご紹介のスレッドを読みました（脱線の話も勉強になりました）。

つまり、技術的な手続きとしては、２〜４で充分で、
ユーザーライクには、１〜にすべきということですね。

[quote]
囚人さんの書き込み (2006-07-15 12:22) より:
引用:

私も 1 はSSLにするのが常識だと思っていたのですが。
改竄されて、違うところに POST してしまったらどうするんでしょうね。


そうですね。送信先のことまで責任を持つ意味で
サイト設計者としても、１〜と考えるべきですよね。

よくわかりました。
ありがとうございました。

確かに、性善説が通用しない世の中になってきたなぁと思う今日この頃です。


[ メッセージ編集済み 編集者: Jumpin' Jack Flash 編集日時 2006-07-15 13:00 ]
1

スキルアップ／キャリアアップ（JOB@IT）