全般的日本語フォーラム

うたがわ様
お世話になっております。ご回答どうもありがとうございます。
無知で大変恐縮なのですが、ご質問させて下さい。

指摘事項(1)についてですが、
再度リバースプロキシー配下の平文通信の確認を行ってみます。

>リバースプロキシ配下の通信路が信頼できるのであれば問題ないのではと考えます。
>SAML認証用プラグインに問題があるのではないかと思われます。
こちらのコメントどうもありがとうございました。
SAML認証用プラグインに関しても確認致します。

指摘項目の(2)についてですが、
>HTTP Cookieにはサイズの制約がありますが任意の情報を保存できます。
>ただしユーザ側から容易に内容の閲覧や書き換えができるためユーザ名やパスワードなどの
>情報は保存するべきではありません。
>Moodleではログインセッション用Cookieにユーザ名のようなものは保存して居ないはずです。
こちらに関してですが、MoodleではCookieにはユーザ名のようなものは保存していないので、
FicroFocusによる脆弱性の検査システムがCookieにユーザ名やパスワードを保存していると
解釈させていただいて宜しかったでしょうか。

>（ユーザ名を記憶させるにチェックを入れると60日間RC4で暗号化したユーザ名を記憶させるCookieを別途発行するようです）
こちらは、Moodleの機能ということで宜しかったでしょうか。
この機能を無効にするには、ログイン画面に表示されている「ユーザ名を記憶する」の
チェックボックスをマスクするような施策が必要でしょうか。

以上、宜しくお願い致します。

うたがわ様
お世話になっております。

>(1)で指摘されているSAML認証用プラグインに問題があるのではないかと思われます。

このSAML認証プラグインは、SimpleSAMLphp（https://simplesamlphp.org/）

というプラグインを使用してMicroSoft AzureADで認証処理を行っております。

> 自分なりに調べたところ、"リバースプロキシー配下にある場合は設定をするひつようがある" との情報を得まして、まさしく指摘されているmoodleサービスはリバースProxy配下で稼働しております。

下記Qiitaの@papillonさんのページをご覧になったのですね。

[Moodleのおすすめ隠しconfig by @papillon - Qiita]
https://qiita.com/papillon/items/3725d85d81b3a638bdcc

> この設定はどのようなものなのでしょうか。

具体的には下記3箇所で「クッキーにsecureフラグを立てる目的」および「httpをhttpsに置換する目的」で使用されています。

$CFG->sslproxy使用ファイル:
lib/formslib.php

$CFG->sslproxy使用箇所:
187行目

        if (empty($action)){
            // do not rely on PAGE->url here because dev often do not setup $actualurl properly in admin_externalpage_setup()
            $action = strip_querystring($FULLME);
            if (!empty($CFG->sslproxy)) {
                // return only https links when using SSL proxy
                $action = preg_replace('/^http:/', 'https:', $action, 1);
            }
            //TODO: use following instead of FULLME - see MDL-33015
            //$action = strip_querystring(qualified_me());
        }

備考:
$CFG->sslproxyが有効にされている場合、「http://」を「https://」に置換します。

----------------------------------------------------------------------------------------------

$CFG->sslproxy使用ファイル:
lib/sessionlib.php

$CFG->sslproxy使用箇所:
99行目

/**
 * Determine wether the secure flag should be set on cookies
 * @return bool
 */
function is_moodle_cookie_secure() {
    global $CFG;

    if (!isset($CFG->cookiesecure)) {
        return false;
    }
    if (!is_https() and empty($CFG->sslproxy)) {
        return false;
    }
    return !empty($CFG->cookiesecure);
}

備考:
http通信以下で$CFG->sslproxyが有効にされている場合、クッキーにsecureフラグを立てる準備をします。

----------------------------------------------------------------------------------------------

$CFG->sslproxy使用ファイル:
lib/weblib.php

$CFG->sslproxy使用箇所:
194行目

/**
 * Guesses the full URL of the current script.
 *
 * This function is using $PAGE->url, but may fall back to $FULLME which
 * is constructed from  PHP_SELF and REQUEST_URI or SCRIPT_NAME
 *
 * @return mixed full page URL string or false if unknown
 */
function qualified_me() {
    global $FULLME, $PAGE, $CFG;

    if (isset($PAGE) and $PAGE->has_set_url()) {
        // This is the only recommended way to find out current page.
        return $PAGE->url->out(false);

    } else {
        if ($FULLME === null) {
            // CLI script most probably.
            return false;
        }
        if (!empty($CFG->sslproxy)) {
            // Return only https links when using SSL proxy.
            return preg_replace('/^http:/', 'https:', $FULLME, 1);
        } else {
            return $FULLME;
        }
    }
}

備考:
$CFG->sslproxyが有効にされている場合、「http://」を「https://」に置換します。

> ご教示頂いた下記ディレクティブをリバースプロキシ上のConflgファイルに設定し再び脆弱性検査を行ってみましたがCookie not Sent Over SSLは解消されませんでした。

恐らく、リバースプロキシ用UbuntuサーバのApache設定ファイル (/etc/apache2/sites-available/000-default.conf) の「VirtualHost」ブロック内に下記ディレクティブを記述されたのですね。

RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-Port "443"

> Moodle上の設定には問題はなさそうですので、やはりリバースプロキシの設定を疑った方が宜しいでしょうか。

私もそのように思います。

もし、お使いの脆弱性検査用ソフトウェアがMicroFocus社 (https://www.microfocus.com/) の製品でしたら、東京にもオフィスがあるようですので、一度ご相談されても宜しいかと思います。

[Contact Us - Micro Focus]
https://www.microfocus.com/about/contact/

Midtown Tower
19th Floor, Unit 1902
9-7-1 Akasaka
Minato-ku, Tokyo
Japan 107-6219

Tel: +81-3-5413-4800
Fax: +81-3-5413-4777

> 正しい対応方法でしょうか。

間違ってはいないと思います。

将来的なバージョンアップを考えまして可能な限りプログラムの修正は避けたほうが良いと思いますので、下記設定変更で氏名 (ユーザ名称) を非表示にされてはいかがでしょうか。

テーマが「Boost」の場合:
1.「サイト管理 > アピアランス > テーマ > Boost」に移動する。
2.「高度な設定」タブをクリックする。
3.「生先頭SCSS theme_boost」テキストエリアに下記CSSを記述する。

.usertext {
  display: none;
}

4.「変更を保存する」ボタンをクリックする。

テーマが「Clean」の場合:
1. 「管理 > サイト管理 > アピアランス > テーマ > Clean」に移動する。
2. 「カスタムCSS theme_clean」テキストエリアに下記CSSを記述する。

.usertext {
  display: none !important;
}

3.「変更を保存する」ボタンをクリックする。

吉田さま、

早速ご連絡をどうもありがとうございます。

現設定はONになっております。