証明書がまったくないWebサイトよりも、証明書が無効なWebサイトを閲覧するリスクが高いですか？

Question

情報セキュリティコミュニティは、ユーザーが無効なSSL証明書を使用しているWebサイトにアクセスしないようにすることを強く求めています。 Webブラウザーは、これらの警告を無視したいユーザーとの連携がますます弱まっています。ただし、SSL証明書がまったくないWebサイトを定期的に閲覧しています。

無効な証明書は、アクティブな攻撃者が存在する可能性があることを示しているようです可能性がありますが、ご存知のように、アクティブな攻撃者があなたをターゲットにしている可能性もありますクリアテキストhttpを閲覧するとき、警告は表示されません。

証明書がまったくないサイトよりも無効な証明書を持つサイトを閲覧することにより、自分自身をより大きなリスクにさらすことになりますか

Ajedi32 · Accepted Answer

はい、無効な証明書を使用しているサイトは、証明書を使用していない通常のHTTPサイトよりもリスクは高くなりますが、わずかです。

接続自体のセキュリティに関して、あなたの直感は正しいです。無効な証明書を使用するサイトは、プレーンなHTTPサイトと同じです。実際、攻撃者が接続を受動的に監視できるが変更はできない（かなり珍しい）ケースでは、無効な証明書を使用するHTTPSサイトは、実際には有効な証明書を使用するサイトと同じくらい優れています。ただし、アクティブな中間者攻撃に対して、無効な証明書を使用したHTTPS接続は、プレーンHTTPよりもはるかに優れています。

ただし、接続のセキュリティ自体が唯一の考慮事項ではありません。プレーンテキストのHTTPサイトへのアクセスと無効な証明書を使用したHTTPSサイトへのアクセスには、他の重要な違いがあり、後者のシナリオは多少リスクが高くなる可能性があります。

1つには、HTTPS接続を使用するサイトは、その接続を介して機密情報を転送する可能性が高くなります。たとえば、「セキュア」フラグが付いたCookieは、暗号化されていないHTTP接続を介して送信されませんが、セキュリティ警告をバイパスすると、無効な証明書を使用してHTTPS接続を介して送信されます。つまり、有効な証明書を使用していたときに以前にサイトにログインし、後でそのサイトに戻って、無効な証明書を使用している場合、セキュリティ警告をバイパスすると、攻撃者が即座にアカウントにアクセスできる可能性があります。

さらに、Webのより強力な機能のいくつかは、セキュリティ上の理由から HTTPSを使用するサイトでのみ使用可能です。無効な証明書を使用するHTTPSサイトのセキュリティ警告をバイパスすると、攻撃者がこれらの機能にアクセスできるようになる可能性があります。

たとえば、攻撃者は、アクセスしているサイトにService Workerをインストールして、後で有効な証明書を使用した安全な接続を介してサイトへのアクセスに戻った場合でも、そのサイトとの今後の通信を制御する可能性があります。または、以前にそのサイトにGeolocation APIへのアクセスを許可した場合、攻撃者はそのアクセスを使用してGPS位置を監視することができます。 HTTPSページでのみアクセスできるAPIの完全なリストについては、MDNの安全なコンテキストに制限されている機能ページを参照してください。

しかし、全体として、これらの追加のリスクは、そもそも安全でない接続を使用することですでにさらされているリスクと比較すると、比較的小さなものです。プレーンHTTPサイトを閲覧するときは、セキュリティ警告をバイパスしてサイトにアクセスするときと同じように、両方のシナリオが非常に危険であるため、注意が必要です。

LvB · Answer

はい、そうです。はい、ブラウザーのセキュリティレイヤーをバイパスして無効な証明書のページにアクセスし、あらゆる種類の攻撃にさらされるため、より多くのリスクにさらされますが、通常は「SSLのみ」として保護されているものにアクセスできます。

いいえ、危険なページは危険なページです。 TLSはこれを少しでも変更しません。プレーンなHTTPは転送中にあらゆる種類の可能な操作を持っています。ただし、ブラウザはそれを安全でないものとして扱い、混合コンテンツで読み込まれません（警告なし）。

したがって、結論として、セキュリティ機能をバイパスすることで、より大きなリスクにさらされることになります。