想定されるリスク
- DNSスプーフィング
- 暗号化される前のDNSクエリの改ざん
- 偽サイトへの誘導リスク
- SSLストリッピング
- HTTPS接続を強制的にHTTPへダウングレードする
- 見かけ上は通信しているため、前段で攻撃者が介在していると検知できない
- HSTS1によって対策
- Man-in-the-middle (MITM) 攻撃
- 偽のアクセスポイントを設置し、通信の傍受
- 証明書の警告無視が危険
- パケットスッフィング
関連: Content Security Policy (CSP)
Footnotes
-
HTTP Strict Transport Security: 一度通信したブラウザとサーバー間でサーバーがブラウザに対してセキュリティヘッダーを付与。有効期間内でhttpsで接続する旨があり、次回以降は自動的にhttps接続をする。
https://securityheaders.com/ にてヘッダーの確認ができる。もしくはNetwork Tab ↩