キャッシング可能なHTTPSレスポンスを許可するWebサーバーがセキュリティ上のリスクを負っていますか？

Question

私たちは、外部の企業にWebアプリケーションに関するセキュリティリスクレポートを作成させ、キャッシュ可能なHTTPS応答を許可することが「中程度の」セキュリティリスクであると述べました。

この評価に満足するでしょうか？

Answer 1

データが真に安全である必要がある場合は、キャッシュするのが悪い考えです。

たとえば、ユーザーの銀行の明細であれば、それがサーバーにキャッシュされている場合、それは（データが格納されているデータベースに加えて）別の場所ですひび割れ。

本当に安全である必要がない場合は、セキュアにする必要があり、キャッシュされないもの（httpsで提供されるページのイメージなど）をhttpsに渡すだけです。

Answer 2

レスポンスのサーバー側のキャッシュは、httpsが暗号化に使用するSSL/TLSとは異なるレイヤーで起こっているため、OKである必要があります。