http://www.hatena.ne.jp/1074062298
認証画面がHTTPで,FORMのACTIONに”https://****.asp”となっている場合,入力したIDやパスワードは暗号化されたパケットとしてネット上を流れるのでしょうか?なんとなく.. - 人力検索はてな
つい先ほどあった質問と一緒ではないでしょうか?
この質問の中のmi-siさんのお答えを読んでいただけるとわかると思います。
http://www.soumu.go.jp/joho_tsusin/security/kiso/k01_ssl.htm
基礎知識 SSL/TLSの仕組み
↑のページのように
個人情報を入力するときには鍵マークが表示されていると安全だ、
と説明されることが多いので入力画面からSSLを利用しているのではないでしょうか。
なっとくです。ありがとうございます。
http://www.ipa.go.jp/security/awareness/administrator/secure-web...
6.1.2 適切なプロトコルの選定
何度もすみません。
偶然同じ質問かと思い、全く調べずに解答しました。すみませんでした。
意見が変わって大変申し訳ないのですが、どうやらSSL接続を確立してから暗号化したデータを送るようですね。ここを読むと問題はなさそうです。
ただ、入力する際の信頼性があがるので、なりすましを防ぐという意味はあるのかもしれません。IEでURLの偽装が出来るというバグがみつかっているため、この方がより安心なのかも・・・。
なるほど、偽者ページの判別用ですね。
SSLか有効かどうか、事前にユーザーに確認するという必要性があるのかもしれません。
いきなりpostでsslだと、sslを有効にしていない場合、もしくはうまく動かない場合困るのではないでしょうか。
しかしながら、NN4.7xではSSL通信において、ブラウザ特有のエラーの発生頻度が高いことが確認されておりますため、動作環境から外しております。
これもなっとくです。たしかに、ユーザとしては事前チェックがあった方がよさそうでね。
JAL−航空券 予約・空席照会・運賃案内−
上記サイトのログイン説明にある通り「SSLでなければ」という
生半可に詳しい人を安心させるためというのが主だと思います。
具体的な事例ありがとうございます。
この質問が終了してしまったので、追加で質問しています。
最後の回答が非常に気になったののです。
鍵(共通鍵)を交換する前に、鍵自体が(公開鍵)で暗号化されて渡されると思うのですが・・・
公開鍵で暗号化されたものを破るのは至難の業かと思います。
ということは、いきなりhttpsでOKということになりませんか?