rssフィードURLにユーザー名/パスワードを埋め込む際にセキュリティ上の影響はありますか？

Question

FogBugzのRSSフィードをiGoogleページに追加したときに、フィードURLにユーザー名とパスワードを埋め込む必要があることに気付きました。これに関連するセキュリティ上のリスクはありますか？

編集： はい、私の質問には、httpsとURLのクエリ文字列部分が暗号化されているかどうかが明記されている必要があります。

Answer 1

HTTPS URLではない場合は[はい]です。

あなたのアカウントはまだ侵害されていませんが、暗号化されていないチャンネルで認証情報を送信しているとは限りません。

HTTPSの場合は問題ありません。 HTTPS URL は、に暗号化されています。

Answer 2

URL内の機密情報は、ユーザーのブラウザ、Webサーバー、および2つのエンドポイント間のすべてのフォワードまたはリバースプロキシサーバーを含むさまざまな場所に記録されます。 URLは、画面上に表示されたり、ブックマークされたり、ユーザーによって電子メールで送信されたりすることもあります。それらは、オフサイトのリンクが続く場合、Refererヘッダを介して第三者に開示されることがあります。セッショントークンをURLに配置すると、攻撃者がこれらのトークンを取得するリスクが高くなります。