HTTPでのログインデータをEtherealでのぞいてみる
自分のPCにEtherealを入れて、SVNリポジトリにログインしたときのデータを見てみる。HTTPSではなくHTTPだからたぶん見えてしまうのだろう。
データを見てみたけどパスワードらしきものはないな。SSLでなくても一応暗号化されてるんだろうか。
HTTPの主な認証方法には基本認証とダイジェスト認証というのがあるらしいが、今使ってるのは基本認証なのかな。
Basic認証 - Wikipedia
$B%;%-%e%j%F%#$N;EAH$_(B(1)
ファイルを一度取得しようとしてエラーが返ってきて改めてパスワードを送るというのが流れらしい。Etherealのログをみると確かにそんな感じのログが残っている。
サーバから"Authorization Required"が返ってきて、そこに
www-Authenticate: Basic
とあるのでBasic認証のようだ。
次にこちらから送るデータの中には
Authenticate: Basic xxxxx
とありxxxxxの部分がどうやらユーザ名やらパスワードらしい。
さっきのページによるとここはBase64で符号化されているとの事。
Base64 - Wikipedia
ではさっきのxxxxxをデコードしてみると･･････
ああ、出てきた。
まあ趣味で作ってるコードでオープンソース用のリポジトリも検討したぐらいなので、この危険性がどの程度のものなのかは分からない。コードを見られたりいじられたりするぐらいかな。けど、万が一愉快犯にコードをいじられたり消されたりしたら気持ち悪いな。そんな手間暇かけて個人の小さいリポジトリにいたずらする人はいないとは思うんだけど。
