【C#】クリップボード情報をそのまま、HTTP通信に載せる危険性について

始めに

ネタ元

Make Https call using HttpClient

I have been using HttpClient for making WebApi calls using C#. Seems neat & fast way compared to WebClient. However I am...

stackoverflow.com

System.Net.Http.HttpClientの話。これは、1年ほど前に出て各勇士達が色々なVersionで試している。

今回、.net7環境を使用する＆Clipboardアクセスするクラスが存在している。
ということでサクっと検証してく。

HttpClient クラス (System.Net.Http)

URI によって識別されるリソースから HTTP 要求を送信し、HTTP 応答を受信するためのクラスを提供します。

learn.microsoft.com

危険な理由

HTTPS通信の検証プロセス内部で、再度リダイレクトするようなクリップボードデータをバイパスして、別サーバと通信が可能である

これにより、本来秘匿されている通信処理がバイパスサーバを通して秘匿されなくなる。

定期的なDNSエントリの変更が発生する場合、Clientは意識せずに別サーバへ接続する可能性がある。

まぁそりゃそうだって話ですね。でも、正直この問題に関してはサバクラのデプロイ体制に問題があるので、まぁ解決されないでしょｗ

実証方法

UWPを自動アップグレードツールでWin UI3化

.NET アップグレード アシスタントを使用して UWP から Windows App SDK に移行する 注意点 移行前に現環境と上記リンクの表と精査する必要があります。 .NET アップグレードアシスタントを実際に使う .NET アップ...

enjiniacook.net

2023.10.25

上記、WinUI3化に成功したので、この続きは別記事にします。

具体的には以下の手順を想定。
①Webclientを使用して、キャプチャする「Httpエンドポイント」＋「リダイレクトパケット」をクリップボードに展開。
②①のクリップボードをWebclientに展開する。
上記問題が解消されていない場合、パケットキャプチャ上、2つの通信を検知します。
解消されている場合、１つの通信でパケットキャプチャでは暗号化されて内部データが見えない状態になると推察される。