お店のサイトの「入口」と「奥のドア」、どっちがしっかりしてる？——まんがでわかる調査のはなし

この記事はエゴサる版にも掲載しています。

スマホ決済や銀行のサイトには、みんなが見る「入口」と、ログインするときに使う「奥のドア」があります。343 の入口と 1,010 の奥のドアをノックして、どっちがしっかりしているか、しっかりしていないと何が起きるのかを、まんがでやさしく紹介します。

まんが本編

各ページの下に、同じ内容を文字でも載せています。

1 ページ目　なんで調べたの？

ミオ（スマホを見て困った顔）「お母さんのスマホ決済、お店で『つながらない』って出ちゃった……」
ソウタ（ノートパソコンを開いて）「ぼくたち、世界中の『使えない』っていう検索を集めたよね。今度はね、そのお店のサイトが『しっかりしてるか』を見に行ったんだ」
ハルカ先輩（ドアをノックしながら）「見に行くといっても、ドアをノックして『こんにちは』って言うだけ。中には入らないし、カギを開けようともしないよ」

2 ページ目　入口と、奥のドア

ハルカ先輩（お店の絵を指して）「サイトにも、みんなが見る『入口』と、ログインするときに通る『奥のドア』があるの。入口は 343、奥のドアは 1,010 見てきたよ」
ソウタ「奥のドアは、古いアプリや古いスマホも通してあげなきゃいけないから、なかなか新しくできないんだって」
ミオ「入口はキャンペーンのたびに作り直すのにね」

3 ページ目　カギのはなし

ハルカ先輩（カギを 2 本持って）「ドアのカギには、新しい型と古い型があるの。古い型のカギでも開いちゃうドアは、こじ開けられる心配が少しだけ大きい」
ソウタ「『古いカギでも開いちゃうドア』は、入口だと 100 のうち 4、奥のドアだと 100 のうち 8」
ミオ「あれ？そんなに変わらない？」　ソウタ「全部まとめて数えるとね。でも『同じお店』で見比べると、看板だけは大きくちがうんだ」

4 ページ目　同じお店で比べたら

ソウタ（表を見せて）「入口は古いカギを断ってるのに、奥のドアは古いカギでも開いちゃうお店が 11 くらい。逆のお店も 6 くらいあって、差は小さめだよ」
ハルカ先輩「いちばん新しい型のカギが、入口にはあるのに奥のドアに無いお店は 24 くらい。逆は 17 くらい。ここも、そんなに大きな差じゃないの」
ミオ（考えて）「カギの新しさは、そんなに差がないんだ……。じゃあ、看板は？」

5 ページ目　「必ずこっちから来てね」の看板

ハルカ先輩（看板を持って）「『安全な道からしか入れません』っていう看板をドアに出せるの。看板が無い奥のドアは、100 のうち 45」
ソウタ「入口には看板があるのに、奥のドアには無いお店が 84 くらい。逆は 17 くらいだけ」
ハルカ先輩（指を立てて）「ただし奥のドアの中には『案内するだけの窓口』もあって、看板がいらない場合もある。だから少し割り引いて見てね」

6 ページ目　どうして困るの？

ミオ（カフェでスマホを手に。となりの席にフードをかぶった人）「カフェの無料 Wi-Fi でログインしようっと。……あれ、となりの席の人、こっちを見てる？」
ハルカ先輩（2 本の道が描かれた地図を指して）「看板が無いとこうなるの。悪い人が『カギの無い道』をこっそり差し出しても、スマホは気づかずそっちを通っちゃう。入力したパスワードは丸見え」
ソウタ（古い南京錠と型番の板が付いたドアを指して）「古いカギでも開くドアには『古いカギで開けて』ってお願いできちゃう。ドアに型番が書いてあると、開け方を調べられる。調べたドアのうち 8 個は、開け方が公開済みだった」

7 ページ目　ドアの名前でわかる

ソウタ「ドアには名前がついてる。『mobile』や『online』っていう古い世代の名前のドアは、新しいカギが無いのが 100 のうち 30 くらい」
ハルカ先輩「『login』『auth』っていう最近作られたドアは、入口と同じくらい新しかった」
ミオ（にっこり）「じゃあ、古い名前のドアから直していけばいいんだね」

8 ページ目　まとめ

ハルカ先輩（親指を立てて）「この調べ方は、お店が『安全か危険か』を決めつけるものじゃない。ノックして、返事を聞いただけ」
ソウタ「カギは差が小さめだったけど、看板は『入口にはあるのに奥のドアに無い』お店がずっと多かった。奥のドアも見てね、って伝えたい」
3 人「お店の名前は言わないよ。みんなで直していくための数字だから」

おとなの人へ（この記事の数字について）

数字はすべて姉妹記事「入口はきれい、奥は古い？」と同じ観測から来ています。「カギ」は TLS（古い型＝TLS1.0/1.1、新しい型＝TLS1.3）、「看板」は HSTS、「奥のドア」はログイン・認証・API 用のホスト、「ノック」は DNS・TLS ハンドシェイク・HTTP GET 各 1 回の受動観測のことです。
「100 のうち ○」は、通常版の割合（小数第 1 位）を四捨五入した整数です。「同じお店で比べたら」の数字は 268 のお店（ドメイン）が母数で、お店ごとに奥のドアを 1 つ選ぶ作業を 1,000 回くりかえした平均です（奥のドアが多いお店ほど『どれか 1 つが古い』ことが増えるので、その偏りをなくすため）。
奥のドアは名前から機械的に選んだもので、本当にログイン画面かどうかは確かめていません。「看板が無い」の数字には、案内（リダイレクト）だけの窓口も含まれます。
6 ページ目の「カギの無い道」は SSL ストリッピング、「古いカギで開けてとお願いする」はダウングレード攻撃、「開け方が公開済み」は公開バージョンと既知の脆弱性（CVE）の照合のことです。いずれも手口の一般的な説明で、実際のサイトに試したことはありません。「開け方が公開済みの 8 個」は、公開されているバージョン文字列が既知の脆弱性情報に当たったホストの数で、実際に攻撃できるかは確認していません。
お店（ブランド）とサイトの対応は公開前に 1 件ずつ確かめ、別のお店のサイトを見ていた分は正しいサイトに差し替えるか、集計から外しました（通常版の 2.1 節）。
どのお店の話かは公開していません。