localhostへのHTTPは安全ですか？
Googleは、Chrome http://を使用して接続しているすべてのWebサイトを安全でないと報告することを計画していると伝えられています。
しかし、問題のホストがlocalhostであり、サーバーがローカルマシンからの接続のみをリッスンしている場合、これは本当に本当ですか？たとえば、ローカルマシンで実行されているサーバーがあり、[http://localhost:8080]に移動した場合、安全ではないことはありますか？私の知る限り、これは127.0.0.1に解決され、ローカルマシンの外部からはアクセスできません。 localhostが127.0.0.1に解決できないか、または127.0.0.1がローカルマシンを参照しないようにすることは不可能だと思います。
すべての通信は、マシン上のサーバープロセスとWebブラウザーであるクライアントプロセス以外の別のプロセスからは見えないチャネルを経由する必要があります。したがって、パスワードやセッションキーなどをチャネル経由で送信することは安全ですよね？
localhostアクセスを許可する によって引き起こされる可能性のあるセキュリティリスクと、これらがどのように保護されるかを知っています。他にどのようなリスクがありますか？
ちょっと。
ループバックトラフィックは物理ネットワークインターフェイスに到達しません。仮想ループバックインターフェイスを介してルーティングされるため、マシンから離れることはありません。
管理アプリケーション（管理ユーザーを含む）とシステムの高特権プロセスは、少なくともWindows、OS X、およびLinuxでは、ループバックインターフェイスを傍受できます。一部の構成では、非ルートプロセスがpcapにアクセスしてループバックを傍受できる場合があります。最新のpcapインストール構成スクリプトでは、pcapアクセスをrootのみに制限するかどうかを尋ねるので、この問題は回避されます。
TCPネットワークソケットは特定のユーザーに限定されないため、マルチユーザーシステムでは、リスニングTCPソケットは、そのシステム上のすべてのユーザーがアクセスできます。さらに、自分の前に実行されるプロセスは、 startは、そのポートで独自の待機サーバーを起動し、クライアントからのリクエストを受け入れる可能性があります。これが脆弱性かどうかは、使用例と脅威モデルによって異なります。