SSL ストリッピング

被害者の HTTPS 接続を密かに平文の HTTP にダウングレードさせ、攻撃者が通信内容を読み取り改ざんできるようにする中間者攻撃。

SSL ストリッピングは、ブラウザが HTTPS にリダイレクトされる前に送信する最初の HTTP リクエストを傍受し、応答内のリンクを書き換えて被害者を平文通信のままにし、攻撃者は別途、正規サイトとの暗号化セッションを維持します。利用者には証明書警告が表示されないため、認証情報・セッション Cookie・フォームの機密データが容易に盗まれます。代表的な防御策は HSTS であり、指定ホストへのアクセスを HTTPS に強制します。HSTS プリロード、Secure 属性付き Cookie、エッジでの HTTP→HTTPS リダイレクト、Certificate Transparency の監視と組み合わせることが推奨されます。