知らないうちにSSLを使用せずにパスワードを送信していることがわかりました。侵害された可能性はどのくらいありますか？
SSLオプションを有効にせずにMongoChef（データベースGUI）を使用して、数週間にわたってプロダクションMongoDBデータベースに接続（ユーザー名とパスワードを送信）していることに気づきました。最近、別のGUIからMongoChefに切り替えましたが、SSLを有効にするのを完全に忘れていました。
私のローカルネットワークの誰も（私が信頼するすべての人）を盗聴していることはないと確信しています。私は主に誰かのことを心配しています。私とデータベースの間にあるISPデバイスのどこかで、データベースが貴重なデータを聞いて収集していたのです。
とにかくリスクを定量化する方法があるのだろうか？とにかく、私が危険にさらされているかどうかを判断するために誰かが私に考えてもらうことができますか？違いがあった場合、私が接続していたデータセンターはその国の近隣地域にあります。
ありがとう
最終的にリスクを定量化できる人はいないと思います。通常、セキュリティ担当者は、問題を分類するのに役立つ体系的なアプローチをここで行うように訓練されています。
- 資産価値の見積もり=>上記のように：DBには何がありますか？猫の写真または核発射コード？
- 脅威モデリング=>データに興味を持つ可能性があるのは誰ですか？それは誰かにとって重要な金銭的価値がありますか？
- 技術評価=>誰かがISPデバイスを危険にさらし、データを盗聴できる可能性はどれくらいありますか（これはおそらくあなたが求めていることですが、個人のリスクを定量化するために、1と2を考慮する必要があります。 NSAはこれらのデバイスを危険にさらす可能性がありますが、猫の写真を処理している場合、データは無視されます。インターネットルーターを危険にさらすことはかなり難しいと思います。多くの知識が必要です。犯罪エネルギーとおそらくお金。
- リスクを軽減する方法はありますか=>はい、明らかに。パスワードを変更します。他のサイトで使用している場合は、そこで変更してください。
ここで番号を与えることは絶対に不可能であり、それも重要ではありません。もちろん、TLSを有効にしてパスワードを変更するだけでなく、同じパスワードを再利用した任意の場所でパスワードを変更する必要があります。
- インターネットルーターが侵害されていることがわかっています（httpリクエストに広告を挿入するインターネットルーターに関する研究があります）
- 通過するプレーンテキストのログイン/パスワードを格納するパーサーを実装するのは簡単です
したがって、確実に知ることはできませんが、最も安全な方法は、侵害されたと見なすことです。