tenable解説暗号化されていないパスワードフォーム

脆弱性名(Ja)	暗号化されていないパスワードフォーム
脆弱性名(En)	Unencrypted Password Form

「暗号化されていないパスワードフォーム」は、パスワードが暗号化されないことによって、攻撃者に傍受されやすくなる脆弱性を指します。

HTTPプロトコル自体はクリアテキストでデータを送信するため、パスワードやユーザー名などの重要な情報が第三者に盗まれる可能性が高くなります。

これに対して、HTTPS（SSL/TLS）を利用することでデータを暗号化し、通信内容を保護します。しかし、暗号化が適用されていない場合、特に中間者攻撃（MiTM攻撃）などによりデータが漏洩するリスクがあります。

脆弱なHTTP経由で認証情報が送信されると、クレジットカード情報や個人情報などが攻撃者の手に渡り、不正利用やデータ漏洩につながる恐れがあります。
このため、すべての認証関連のデータ送信はHTTPSを介して暗号化することが重要です。

暗号化されていないパスワードフォームを利用すると、ユーザーの認証情報が第三者に傍受されるリスクが極めて高くなります。

特に、公共Wi-Fiや企業内ネットワークでは、中間者攻撃（MiTM）を仕掛けられ、認証情報が簡単に盗まれる可能性があります。

この脆弱性を悪用されると、攻撃者はアカウントに不正アクセスし、個人情報や機密データを不正に入手できます。また、SSL/TLSを使用しないサイトは、ユーザーからの信頼を失い、ビジネスにも悪影響を与える恐れがあります。

特に、法律や規制で暗号化が義務付けられている金融業界や医療分野では、データ漏洩が発生した場合に大きな損害を被る可能性があります。

サーバーでSSL/TLS証明書を導入し、すべてのデータ送信をHTTPS経由で行うように設定します。
Let’s Encryptなどの無料の証明書発行機関を使用して、簡単にSSL証明書を取得できます。

Apacheやnginxを使用して、HTTPからHTTPSに強制的にリダイレクトする設定を行います。

Apacheの場合

<VirtualHost *:80>
    ServerName example.com
    Redirect permanent / https://example.com/
</VirtualHost>

nginxの場合

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}