質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

ただいまの
回答率

88.79%

Safari等だけBasic認証が何度も聞かれる

受付中

回答 0

投稿 編集

  • 評価
  • クリップ 2
  • VIEW 2,939

raccy

score 20477

現象の詳細

昨今の事情に鑑み、内部専用サイトについて、外部からWAF経由でアクセスできるようにしました。ただ、そのまま無条件アクセスできるのはよろしくないので、関係者だけがアクセスできるようWAFでBasic認証をかけるようにしました。

アクセスは下記の流れで通信していきます。

  1. WAF (Apache HTTP Server + ModSecurity2)
  2. ロードバランサー (nginx)
  3. Webサーバー (nginx)
  4. アプリケーションサーバー (puma + 自作Webアプリ)

※ 3.と4.は一つのサーバーに同居して、サーバー自体は冗長化している。1.と2.はそれぞれ別サーバーでホットスタンバイの二重化。全てオンプレ。

WAFの所でAuthType Basic等を設定して、普通のBasic認証を行っています。内部からは2.のロードバランサーに直接アクセスできるため、Basic認証はかかりません。

ほとんどの場合はうまくいくのですが、次のOSとブラウザでのみ、何度もBasic認証が聞かれます。

  • iOS Safari
  • iOS Crome
  • iPadOS Safari
  • iPadOS Chrome
  • macOS Safari

次のOSとブラウザはBasic認証は一回のみです。

  • Windows10 Edge/Chrome/Firfox
  • macOS Chrome
  • iOS Edge

同じ仕組みがもう一つ(対象のWeb画面はアプライアンス製品の組み込み)あるのですが、そちらは、駄目なSafariとかでも一回のみです。なぜかSafariだけ聞かれて、なぜか該当のWebアプリだけが発生する謎な現象が発生しました。

Webアプリの詳細

WebアプリはRuby制でHanamiフレームワークを使用した自家製の物です。少し他のWebアプリと変わったところと言えば<script type="module" src="...">を使っていることぐらいです。複数のJavaScriptをモジュールベースで遅延読み込みし、その中でもimport文でJavaScriptの読み込みをいくつか行っています。

動作の検証と推測

Basic認証は、一回成功すれば、それ以降の通信は毎回Authorizationヘッダがついて、自動的に認証してくれるはずです。しかし、SafariではモジュールベースのJavaScript読み込みにバグがあり、Authorizationヘッダを付けてくれないのでは無いかと推測しました。

実際に、macOSのSafariで検証したところ、モジュールベースのJavaScript読み込みについて、Authorizationヘッダを付けずにアクセスしようとしているようでした。もう一回認証を通すと、その時読み込もうとしたJavaScriptは正常に読み込みますが、そのJavaScript内のimport文でのJavaScript読み込みについてはAuthorizationヘッダを付けてくれず、またまた再度認証が聞かれる状態でした。つまり、import文のネストの数だけBasic認証が聞かれてしまうと言う状況です。

なお、これはSafariのみで発生しています。iOS/iPadOSのChromeでも起きるのは、内部でSafariのエンジンを用いているか、内部エンジンが古いからと言う可能性が考えられます。

Safariなんとかしたい

現在、iPhoneからアクセスしたいという要望があり、可能であれば対応したいと考えています。現象を回避する何かいい方法はありませんでしょうか?

Webアプリ本体は触らずに、WAFの部分を変えるだけでいけるのがベストです。

JavaScriptだけBasci認証を外すというのも考えられますが、本来は内部アクセス限定のサイトであるため、内部情報が含まれないはずのJavaScriptであっても、何も制限せずに外から見える形にしたくはありません。(その後の状況の追記にあるとおり、この方法で回避できることは確認しています)

なお、WebアプリでモジュールベースのJavaScriptを普通の読み込みに変えるというのは、webpackとかでimport文をなくしていく仕組みを入れる所から始める必要があるため、工数的にちょっとすぐに対応できるものではありません。ひとまず、その方法は無しでお願いします。

その他の情報

  • ModSecurity2の設定はrecommendedを使用し、細かいカスタマイズはありません。
  • 通信はHTTPS化されています。
  • Basic認証がない内部からの場合は、Safariであっても正常にアクセスでき、Webアプリを利用できます。

その後の状況(2020年7月11日追記)

しばらく回答もなく、良い解決策が見つからないため、JavaScriptが含まれるassets周りのみBasic認証から外すことで現在は回避できています。assetsにあるファイルは静的なコンテンツのみであり、第三者に閲覧されても問題ないという判断です。

ただ、やはり、妥協していることには変わりありません。引き続き、良い方法がないか、回答を募集します。

  • 気になる質問をクリップする

    クリップした質問は、後からいつでもマイページで確認できます。

    またクリップした質問に回答があった際、通知やメールを受け取ることができます。

    クリップを取り消します

  • 良い質問の評価を上げる

    以下のような質問は評価を上げましょう

    • 質問内容が明確
    • 自分も答えを知りたい
    • 質問者以外のユーザにも役立つ

    評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。

    質問の評価を上げたことを取り消します

  • 評価を下げられる数の上限に達しました

    評価を下げることができません

    • 1日5回まで評価を下げられます
    • 1日に1ユーザに対して2回まで評価を下げられます

    質問の評価を下げる

    teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。

    • プログラミングに関係のない質問
    • やってほしいことだけを記載した丸投げの質問
    • 問題・課題が含まれていない質問
    • 意図的に内容が抹消された質問
    • 過去に投稿した質問と同じ内容の質問
    • 広告と受け取られるような投稿

    評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。

    質問の評価を下げたことを取り消します

    この機能は開放されていません

    評価を下げる条件を満たしてません

    評価を下げる理由を選択してください

    詳細な説明はこちら

    上記に当てはまらず、質問内容が明確になっていない質問には「情報の追加・修正依頼」機能からコメントをしてください。

    質問の評価を下げる機能の利用条件

    この機能を利用するためには、以下の事項を行う必要があります。

まだ回答がついていません

15分調べてもわからないことは、teratailで質問しよう!

  • ただいまの回答率 88.79%
  • 質問をまとめることで、思考を整理して素早く解決
  • テンプレート機能で、簡単に質問をまとめられる

関連した質問

同じタグがついた質問を見る