【入門編】HTTP Basic認証のハンドシェイクフローとBase64エンコーディングの脆弱性 – HTTPプロトコル・通信規格実践ガイド

玄関の鍵は「透明な箱」に入っている？ HTTP Basic認証の裏側を徹底解剖

こんにちは！ネットワークの世界へようこそ。インフラエンジニアとして現場を駆け回っていると、「当たり前すぎて今さら聞けないけれど、実は少し怖い話」というものに直面することがあります。

その代表格が「HTTP Basic認証」です。

「Webサイトにアクセスしたときに出てくる、あの小さなユーザー名とパスワードを入力する画面」。あれがBasic認証ですが、実はその裏側で、あなたのIDとパスワードは驚くほど無防備な姿でネットワークを旅しています。

今日は、この「古典的な門番」がどのような仕組みで動き、なぜ現代のインターネットでは「裸で歩くようなもの」と言われるのか、一緒に紐解いていきましょう！

—

1. Basic認証のハンドシェイク：郵便配達で例えると？

Basic認証は、Webブラウザとサーバーの間で行われる非常にシンプルな「身分証明」です。これを郵便配達のやり取りに例えてみましょう。

1. ブラウザからの手紙（リクエスト）: 「このページを見せてください！」
2. サーバーの返事（401 Unauthorized）: 「おっと、誰だかわからないから入れないよ。IDとパスワードを教えてくれないかな？」
3. ブラウザの再送: 「これです！IDは『admin』、パスワードは『secret』です！」
4. サーバーの許可: 「確認できました。どうぞお通りください！」

この「IDとパスワード」をサーバーに伝えるときに使われるのが、HTTPの`Authorization`（権限付与）ヘッダーという仕組みです。

—

2. Base64エンコーディングの「偽りの秘密」

ここで初心者の皆さんが最も勘違いしやすいポイントがあります。それは、「エンコーディングは暗号化ではない」という事実です。

Basic認証では、IDとパスワードを`Base64`（ベースロクヨン）という形式に変換して送ります。例えば `admin:secret` という文字列を変換すると、以下のようになります。

admin:secret をBase64変換すると…
YWRtaW46c2VjcmV0

一見すると暗号化されたように見えますよね？でも、これは「秘密の鍵」をかけたのではなく、単に「アルファベットを別の文字の並びに書き換えただけ（翻訳しただけ）」なのです。

郵便配達で言えば、中身が見えないように「隠し箱」に入れたつもりでも、その箱が透明なプラスチックでできていて、誰でも簡単に中身が透けて見えている状態。それがBase64の正体です。

—

3. なぜ「TLS（HTTPS）」が必須なのか？

もし、あなたがカフェのフリーWi-Fiを使って、この「透明な箱」をサーバーに送りつけたらどうなるでしょうか？

同じネットワーク内にいる悪意のある誰かが、Wi-Fiの電波を傍受（盗聴）するツールを使えば、あなたの通信を簡単に覗き見ることができます。Base64は変換ルールが公開されているため、誰でも一瞬で元の `admin:secret` に戻せてしまうからです。

だからこそ、現代のインフラ設計では以下のルールが鉄則です。

「TLS（HTTPS）なしでのBasic認証は絶対禁止」

TLSというのは、通信経路そのものを頑丈な装甲車で包み込むような技術です。装甲車の中であれば、たとえ「透明な箱」に入ったID/パスワードであっても、外からは誰も手を出せません。

—

4. 実務で触れる「Authorizationヘッダー」の正体

最後に、開発者ツールやパケットキャプチャソフトで見かける実際のデータを見てみましょう。ブラウザから送信されるデータは、このような形式になっています。

GET /secure-area HTTP/1.1
Host: example.com
Authorizationヘッダーの中に、変換された文字列が入っています
Authorization: Basic YWRtaW46c2VjcmV0

もし皆さんがAPI開発などでBasic認証を実装する場合、以下のように扱うことになります（例：Node.js）。

// IDとパスワードを組み合わせてBase64にする処理
const user = ‘admin’;
const pass = ‘secret’;

// Bufferを使ってBase64変換（これが認証の仕組みです）
const authString = Buffer.from(`${user}:${pass}`).toString(‘base64’);

// ヘッダーにセットする時は “Basic ” という接頭辞を忘れないように！
console.log(`Authorization: Basic ${authString}`);
// 出力: Authorization: Basic YWRtaW46c2VjcmV0

—

まとめ：一歩ずつ理解していきましょう

Basic認証は非常に歴史が長く、シンプルで使いやすい反面、「暗号化されていない平文に近い状態」で情報を送るという大きなリスクを抱えています。

Base64は変換であって、暗号化ではない。
通信経路をHTTPS（TLS）で守らなければ、IDとパスワードは丸見え。

この2点さえ押さえておけば、皆さんがインフラやアプリの設計に携わったとき、セキュリティ事故を未然に防ぐ強力な武器になります。

「当たり前の技術ほど、実は深い落とし穴がある」。そう気づけたあなたは、もう一人前のエンジニアへの階段を一歩登りました。これからも一緒に、ネットワークの深淵を楽しく覗いていきましょうね！