Q&A
まだ.htaccessのベーシック認証の方がいいのでしょうかね？
難しい......
###前提・実現したいこと
HTML CSS javaScriptのみでユーザーの認証ができ静的なページを保護しています。（サーバーレス前提）
現在はAWSのUser Pools, cognitoでユーザー認証を行っています。
↓以下のサイトを参考
http://qiita.com/Yuki_BB3/items/ee8330830951acd907de
http://dev.classmethod.jp/cloud/aws/login-form-by-using-aws-sdk-for-javascript/
.htaccessに何かを書き加えることでjavascriptをoffにした場合でも、
うまく弾いたりする事はできるんでしょうか？（当方、.htaccessの知識が乏しいもので....）
何かいい対策案やアイデアなどあれば教えていただきたいです。
###発生している問題・エラーメッセージ
・ブラウザの設定でjavascriptをオフにすると、mypage.htmlが見れてしまう。
・セッションチェックはしているとは言えmypage.htmlの中身が基本丸見え。
###試したこと
悔し紛れに<noscript>で飛ばしてはみてます.....。
が、セキュリ的に弱いかなと...
html
1<noscript><meta http-equiv="refresh" content="0; URL=index.html"></noscript>
###補足情報(ディレクトリ)
ログインしたらマイページ画面に飛びます。マイページ画面のローディング中にログインしているかどうかセッションチェック。
ログインしていなければログイン画面に戻す。という感じです。セッションチェックは mypage.js でやってます。
www
├── js
│ ├── amazon-cognito-identity.min.js
│ ├── aws-cognito-sdk.min.js
│ ├── jsbn.js
│ ├── jsbn2.js
│ ├── mypage.js
│ └── sjcl.js
├── css
│ └── style.css
├── index.html
├── mypage.html
├── login.html
└── signup.html
###追記
サーバーレスとは書きましたが
実はcgiファイルは使えます。(サーバーにphpなどのモジュールは入ってません)
cgiファイルを使ってcognitoとうまく組み合わせられるといいのですが....
回答5件
0
基本的には何をやっても無理です
しかし独自の暗号化復号化技術をつかって、ページの本文を
暗号化できるのであれば絶対無理ともいえません
ただしその場合も平文のパスワードでアクセスするわけですから
解析しようとする人間がいればすぐに割り出せるでしょう。
結果、やるだけ無駄だと思います
投稿2017/05/25 08:10
総合スコア114769
0
ベストアンサー
クライアントサイド言語
JavaScriptはクライアントサイドで動く為、悪意あるユーザはいくらでもJavaScriptコードを改変できます。
質問者さんがやろうとしておられる方法なら、JavaScriptを無効化しなくともユーザ認証機能のコードをごっそり削除すれば、突破出来ます。
パスワードをURIにする
コードから読み取れない手法として、パスワードをそのままURIにする手法がありますが、これもURIが一度バレて公開されてしまえば、誰でも参照可能という問題が付きまといます。
ページ全体を暗号化する
ページ全体を暗号化し、パスワードを元に複合化する方法を採用すれば、パスワードを知らないユーザがページを閲覧できなくする事は可能です。
勿論、クライアントサイドで動くので時間をかければ突破されます。
紹介した中では最もセキュアな方法ですが、メンテナンスが圧倒的に手間がかかるので、あまりお勧めはしません。
Re: obon_t さん
投稿2017/05/25 08:43
総合スコア18162
コード上からはクライアントサイドを意識したセキュリティ対策はとってないようなので、「クライアントサイドがどこで動いているのか」を調べて対策した方が良いと思います。
クライアントサイドで動く以上、コンテンツはユーザのものなので、パスワードがコード上に書かれているなら、いくらでも突破しようがあります。
ですので、「コードを読んだとしてもコンテンツが分からないようにする仕組み」が必要であり、コード上にパスワードを書かない工夫が必要なのです。
コンテンツを暗号化したならば、パスワードがコード上から読み取れなければ、原理的にはセキュアになります。
が、全てのコンテンツを暗号化して公開しなければならないので、手間もかかります。
実装する上では、Basic認証の方が圧倒的に楽でしょう。
0
node.jsを使ってみてはどうでしょうか？
投稿2019/08/15 09:24
総合スコア33
0
投稿2017/05/25 08:37
総合スコア25
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2017/05/25 09:54
2017/05/25 10:47 編集