Digest認証で、グループウェアは守られますか？

質問

こんばんは。

　いま、小規模グループウェアを構築中です。一般的なレンタルサーバーにphpGroupWareを置いて使っています。サーバーはＳＳＬ対応ですが、諸事情でＳＳＬ通信は使えません！

　そこで、Digest認証を考えています。Digest認証を使えば非SSL環境で通信が盗聴されたとしてもパスワードは一般的に流出しませんよね？
　その後、phpGroupWareのIDとパスワードも盗聴されたとします。そのIDとパスワードを入力する画面に辿り着く前にDigest認証でブロックされる。
　→よって非ＳＳＬでもDigest認証を掛ければ安全！

　というのは正しい認識でしょうか？

　その時にphpGroupWareで表示した情報は盗聴されると思いますが、それは考慮しません。もちろんＭＤ５も日が経てば安全性には疑問が出てきたり、また盗聴ではなくキーロガーを仕掛けられたら元も子もないですが、そういう可能性は無視でお願いします。あくまでもネットワーク盗聴についてでお願いします。

　それでは、よろしくお願いいたします。

回答No.2

onosuke · ベストアンサー

IDとパスワードが同一だった場合はどうしますか？
Digest認証でもIDは盗聴できます。

・phpGroupWareのパスワード
・Digest認証のパスワード
の２者が同一だった場合はどうしますか？

パスワード変更はどうやって保護するのですか？

# まずは、SSLが利用できない理由を解決する方法を
# 質問するのが本筋だと思いますがいかがでしょう？

回答No.1

noname#106445

BasicよりはDigestですが、残念ながら、昨今のレンタルサーバーはコスト削減で、企業によりシステムもさまざまです。
よって、レンタルサーバ側のセキュリティも考慮したいところです。

補足

ありがとうございます。
レンタルサーバー側にセキュリティ上の欠陥があることは除外していただけるとありがたいです。