SSL化しても平文が見られる

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• SSL（またはTLS）が有効になっていても、Burp Suiteでリクエストを傍受している間は、ログイン認証情報が平文で表示されます。

Environment

• Liferay DXP 7.3

解決策

• ユーザーがburpスイートをプロキシとして利用する場合、burpはブラウザとウェブサイト間のすべてのトラフィックを傍受するため、一般的にトラフィックを検査するため、パスワードのプレーンテキストを見ることができます。 Burpの設定によるTLS*保護機能の回避は、脆弱性とはみなされません。
• このページでは、パスワードをHTTPSで送信するため、暗号化してからネットワーク上に送信されます。 さて、もしユーザーが自分の証明書を信頼できる証明書ストアに追加することで、Burpにあらゆる暗号化されたトラフィックの復号化を許可した場合、Burpが中間者攻撃を行い平文形式のパスワードを見ることができる唯一の理由はそれです。 他の人は暗号化されたトラフィックしか見ることができず、パスワードが送信されているかどうかさえわかりません。 HTTPSリクエストのburp suite傍受によってパスワードが平文で表示されますが、問題でしょうか？
• この場合、ユーザーはこの動作を修正するために、ブラウザからBurp CA証明書を削除する必要があり、Burpはむしろ役に立たなくなることになります： BurpのCA証明書のインストール

追加情報

• SSLは時代遅れで安全でないため、使用しないでください。 ユーザーがSSLを使用している場合、データは復号化される可能性があります（ただし、BurpがSSL復号化をサポートしていないことは確かです）： https://help.liferay.com/hc/en-us/articles/360019140811

• パスワードは、ユーザーのブラウザコンソールでプレーンテキストとして表示される