Interstage Application Server セキュリティシステム運用ガイド

1.1.2.4 認証サーバのなりすまし

　基本認証の場合、認証サーバは利用者にユーザ名とパスワードの提示を求めます。実際には、Webブラウザが利用者にユーザ名／パスワード入力ダイアログを表示して入力を促します。通常は、利用者がWebブラウザを使用して業務サーバにアクセスすることにより、この認証要求が発生します。

　しかし、利用者がWebブラウザからユーザ名／パスワードの入力を求められるのは、認証サーバによるものとは限りません。攻撃者が認証サーバと偽ってサーバを用意し、そこに利用者を導いてユーザ名／パスワードの入力を促すことが考えられます。利用者が気付かず、攻撃者が用意したサーバに正しいユーザ名とパスワードを提示してしまう危険性があります。