最初に結論

AndroidアプリのWebViewで基本認証させようと思って検索するとよく見かけるサンプルコードについて、これではコンテンツに埋め込まれている外部サイトのオブジェクト(画像とかロギングツールとか広告オブジェクトとか)へ認証情報を流してしまうかもしれないので、注意が必要。
つまり、**認証情報を提示するホスト/URLを、きちんと制限しましょう。**という至極当然の結論。

よく見るサンプルコード

webView.setWebViewClient(new WebViewClient(){
 @Override
 public void onReceivedHttpAuthRequest(WebView view, HttpAuthHandler handler, String host, String realm) {
  handler.proceed("ユーザ名", "パスワード");
 }
});

つまり、WebViewClientクラスの「onReceivedHttpAuthRequest」をオーバーライドして、ユーザ名とパスワードを与えてあげればいい。

というもの。

まぁ、確かにそうなんだが、これでは、任意のホストの任意のレルムに認証情報を流してしまうかもしれないので、注意が必要。

実際に試してみる

環境

こんな感じ

トップの192.0.2.1のコンテンツ内部に、192.0.2.2のコンテンツ**(広告の画像とか、外部スクリプトとか)**を参照しているような場合。

192.0.2.2 側で故意に認証要求させると認証情報がそちらに漏れるかもしれない。

アプリのコード

protected void onCreate(Bundle savedInstanceState) {
 super.onCreate(savedInstanceState);
 setContentView(R.layout.activity_main);
 // これはトップのhttp://192.0.2.1:90/Auth/test.htmqだけに
 // 関係する認証情報のはず、だと思ってコーディングしていると思う
 String username = "sanaki";
 String password = "password123!";
 //
 WebView webView = (WebView)findViewById(R.id.webView);
 webView.setWebViewClient(new WebViewClient(){
  @Override
  public void onReceivedHttpAuthRequest(WebView view, HttpAuthHandler handler, String host, String realm) {
   handler.proceed(username, password);
   Log.i("BasicAuth", "Host=" + host + ",realm=" + realm);
  }
 });
 // JavaScriptを有効化
 webView.getSettings().setJavaScriptEnabled(true); // JavaScriptを有効にする
 //
 webView.loadUrl("http://192.0.2.1:90/Auth/test.htm");
}

こんな感じ。
アプリを起動すると「192.0.2.1:90」にアクセスして、そのコンテンツを表示する。というやつ。

ネットにアクセスするために
AndroidManifest.xmlに
「<uses-permission android:name="android.permission.INTERNET"/>」
と、(検証のためにhttpsにするのは面倒なので)平文のhttpをWebViewで許可するために
「android:usesCleartextTraffic="true"」
は記述している

まぁ、基本認証をしているということは、主に管理系のWebサイトだと思うけど、管理系に広告とかアクセス履歴系のやつとか埋め込んでいるのも、まぁ、たしかに想定としておかしな話かもしれんけどねぇ～

結果(まとめ)

きちんと、192.0.2.2側にも認証情報が洩れている事が、下記から確認できると思う。

結果(ログ)

Logの方には、こんな感じで、ログが出てる。

2022-01-12 15:36:06.175 18740-18740/jp.dip.rocketeer.webviewtest I/BasicAuth: Host=192.0.2.1,realm=192.0.2.1
2022-01-12 15:36:06.379 18740-18740/jp.dip.rocketeer.webviewtest I/BasicAuth: Host=192.0.2.2,realm=192.0.2.2

子フレーム側の192.0.2.2側にも認証情報が洩れているということになるだろう。

結果(192.0.2.1側{親、想定しているホスト側})

192.0.2.1 の方は、こんな感じの通信内容となっている。

RAW 通信データ

C:\>StreamRelay.NET.exe -localport 90 -remoteport 80 -remotehost 127.0.0.1 -logging GET /Auth/test0.htm HTTP/1.1 Host: 192.0.2.1:90 Connection: keep-alive Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Linux; Android 11; sdk_gphone_x86 Build/RSR1.201013.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/83.0.4103.106 Mobile Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 X-Requested-With: jp.dip.rocketeer.webviewtest Accept-Encoding: gzip, deflate Accept-Language: en-US,en;q=0.9

HTTP/1.1 401 Unauthorized ← 192.0.2.1側のこれは想定している認証要求
Cache-Control: private
Content-Type: text/html; charset=utf-8
Server: Microsoft-IIS/10.0
X-Powered-By: ASP.NET
WWW-Authenticate: Basic realm="192.0.2.1"
Date: Wed, 12 Jan 2022 07:11:14 GMT
Content-Length: 6396

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<title>IIS 10.0 エラーの詳細 - 401.2 - Unauthorized</title>
<style type="text/css">

</style>

</head>
<body>
<div id="content">
<div class="content-container">
<h3>HTTP エラー 401.2 - Unauthorized</h3>
<h4>認証ヘッダーが無効なため、このページを表示することができません。</h4>
</div>
<div class="content-container">
<fieldset><h4>可能性のある原因:</h4>
<ul> <li>IIS は認証プロトコル (匿名のものも含む) を選択しません。</li> <li>統合認証のみ有効です。統合認証をサポートしないクライアントブラウザーが使用されました。</li> <li>統合認証は有効で、Web サーバーに到達する前に認証ヘッダーを変更するプロキシサーバーをとおして要求が送信されています。</li> <li>Web サーバーは匿名アクセスに対して構成されてなく、必要な認証ヘッダーが受信されませんでした。</li> <li>"configuration/system.webServer/authorization" 構成セクションが明示的にユーザーのアクセスを拒否しています。</li> </ul>
</fieldset>
</div>
<div class="content-container">
<fieldset><h4>対処方法:</h4>
<ul> <li>リソースに対する認証設定を確認した後、その認証方法を使用するリソースを要求します。</li> <li>クライアントブラウザーが統合認証をサポートしていることを確認します。</li> <li>統合認証が使用される場合、要求がプロキシサーバーをとおしていないことを確認します。</li> <li>"configuration/system.webServer/authorization" 構成セクションによって、ユーザーが明示的にアクセスを拒否されていないことを確認します。</li> <li>この HTTP 状態コードに対して失敗した要求を追跡するトレース規則を作成します。失敗した要求のトレース規則の作成の詳細については、<a href="http://go.microsoft.com/fwlink/?LinkID=66439">ここ</a>をクリックします。</li> </ul>
</fieldset>
</div>

<div class="content-container">
<fieldset><h4>エラー情報の詳細:</h4>
<div id="details-left">
<table border="0" cellpadding="0" cellspacing="0">
<tr class="alt"><th>モジュール</th><td>   IIS Web Core</td></tr>
<tr><th>通知</th><td>   AuthenticateRequest</td></tr>
<tr class="alt"><th>ハンドラー</th><td>   StaticFile</td></tr>
<tr><th>エラーコード</th><td>   0x80070005</td></tr>

</table>
</div>
<div id="details-right">
<table border="0" cellpadding="0" cellspacing="0">
<tr class="alt"><th>要求された URL</th><td>   http://192.168.0.11:80/Auth/test0.htm</td></tr>
<tr><th>物理パス</th><td>   C:\inetpub\Rocketeer\Auth\test0.htm</td></tr>
<tr class="alt"><th>ログオン方法</th><td>   未定義です</td></tr>
<tr><th>ログオンユーザー</th><td>   未定義です</td></tr>

</table>
<div class="clear"></div>
</div>
</fieldset>
</div>

<div class="content-container">
<fieldset><h4>詳細情報:</h4>
このエラーは、Web サーバーに送信された WWW-Authenticate ヘッダーがサーバーの構成でサポートされていないときに発生します。リソースの認証方法を確認し、クライアントが使用している認証方法を確認します。それらの認証方法が異なる場合、このエラーが発生します。クライアントが使用している認証の種類を判断するには、クライアントの認証設定を確認します。
<p><a href="https://go.microsoft.com/fwlink/?LinkID=62293&amp;IIS70Error=401,2,0x80070005,17763">詳細情報の表示 »</a></p>
<p>マイクロソフトサポート技術情報の記事:</p>
<ul><li>907273</li><li>253667</li></ul>

</fieldset>
</div>
</div>
</body>
</html>
GET /Auth/test0.htm HTTP/1.1
Host: 192.0.2.1:90
Connection: keep-alive
Authorization: Basic c2FuYWtpOnBhc3N3b3JkMTIzIQ== ← これは想定している認証情報
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Linux; Android 11; sdk_gphone_x86 Build/RSR1.201013.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/83.0.4103.106 Mobile Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/;q=0.8,application/signed-exchange;v=b3;q=0.9
X-Requested-With: jp.dip.rocketeer.webviewtest
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9

HTTP/1.1 200 OK
Content-Type: text/html
Last-Modified: Wed, 12 Jan 2022 06:47:42 GMT
Accept-Ranges: bytes
ETag: "e418764c807d81:0"
Server: Microsoft-IIS/10.0
X-Powered-By: ASP.NET
Date: Wed, 12 Jan 2022 07:11:14 GMT
Content-Length: 157

<html>
<head><title>Basic Auth Test</title></head>
<body>This is Test
<hr>
<iframe src="http://192.0.2.2/Auth/testIn.htm"></iframe>
</body>
</html>

結果(192.0.2.2側{子、想定していないホスト側})

192.0.2.2 の方は、こんな感じの通信内容となっている。
認証情報が漏れている事が確認できる

RAW 通信データ

C:\>StreamRelay.NET.exe -localport 80 -remoteport 80 -remotehost 192.0.2.1 -logging GET /Auth/testIn.htm HTTP/1.1 Host: 192.0.2.2 Connection: keep-alive Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Linux; Android 11; sdk_gphone_x86 Build/RSR1.201013.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/83.0.4103.106 Mobile Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 X-Requested-With: jp.dip.rocketeer.webviewtest Referer: http://192.0.2.1:90/Auth/test0.htm Accept-Encoding: gzip, deflate Accept-Language: en-US,en;q=0.9

HTTP/1.1 401 Unauthorized ← 192.0.2.2側のこちらは想定されていない場面が多いと思う
Content-Type: text/html
Server: Microsoft-IIS/10.0
X-Powered-By: ASP.NET
WWW-Authenticate: Basic realm="192.0.2.2"
Date: Wed, 12 Jan 2022 07:11:14 GMT
Content-Length: 1313

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=shift_jis"/>
<title>401 - 権限がありません: 資格情報が無効であるため、アクセスが拒否されました。</title>
<style type="text/css">

</style>
</head>
<body>
<div id="header"><h1>サーバーエラー</h1></div>
<div id="content">
<div class="content-container"><fieldset>
<h2>401 - 権限がありません: 資格情報が無効であるため、アクセスが拒否されました。</h2>
<h3>指定した資格情報を使用して、このディレクトリまたはページを表示するアクセス許可がありません。</h
3>
</fieldset></div>
</div>
</body>
</html>
GET /Auth/testIn.htm HTTP/1.1
Host: 192.0.2.2
Connection: keep-alive
Authorization: Basic c2FuYWtpOnBhc3N3b3JkMTIzIQ== ← 想定外のホスト(192.0.2.2)へ認証情報が洩れている
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Linux; Android 11; sdk_gphone_x86 Build/RSR1.201013.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/83.0.4103.106 Mobile Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/;q=0.8,application/signed-exchange;v=b3;q=0.9
X-Requested-With: jp.dip.rocketeer.webviewtest
Referer: http://192.0.2.1:90/Auth/test0.htm
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9

HTTP/1.1 200 OK
Content-Type: text/html
Last-Modified: Wed, 12 Jan 2022 04:31:28 GMT
Accept-Ranges: bytes
ETag: "d424f3436d7d81:0"
Server: Microsoft-IIS/10.0
X-Powered-By: ASP.NET
Date: Wed, 12 Jan 2022 07:11:14 GMT
Content-Length: 19

This is ifame page.

まとめ

まぁ、つまり、オーバーライドする際に、hostやrealmで制限する必要があるということ。

例えば、

webView.setWebViewClient(new WebViewClient(){
 String relmStr = "";
 @Override
 public void onReceivedHttpAuthRequest(WebView view, HttpAuthHandler handler, String host, String realm) {
  // hostやrealmをチェックして、認証情報をチェックする必要がある
  if(host.equals("192.0.2.1") == true){ // 例えば、ホストで制限する
   if(this.relmStr.length() == 0){
    // ここは一番最初の要求
    this.relmStr = realm;
    handler.proceed("ユーザ名", "パスワード"); // ← 想定している範囲内だけに制限することが大切
   }else if(this.relmStr.equals(realm) == true){
    // 2番目からは記憶しているレルムの時だけに制限する
    handler.proceed("ユーザ名", "パスワード"); // ← 想定している範囲内だけに制限することが大切
   }else{
    handler.cancel();  
   }
  }else{
   handler.cancel();  
  }
 }
});

こんな感じ。

192.0.2.2側ではちゃんと認証情報を漏らさずに認証エラーとなっている

RAW 通信データ

C:\>StreamRelay.NET.exe -localport 80 -remoteport 80 -remotehost 192.0.2.1 -logging GET /Auth/testIn.htm HTTP/1.1 Host: 192.0.2.2 Connection: keep-alive Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Linux; Android 11; sdk_gphone_x86 Build/RSR1.201013.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/83.0.4103.106 Mobile Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 X-Requested-With: jp.dip.rocketeer.webviewtest Referer: http://192.0.2.1:90/Auth/test0.htm Accept-Encoding: gzip, deflate Accept-Language: en-US,en;q=0.9 If-None-Match: "d424f3436d7d81:0" If-Modified-Since: Wed, 12 Jan 2022 04:31:28 GMT

HTTP/1.1 401 Unauthorized
Content-Type: text/html
Server: Microsoft-IIS/10.0
X-Powered-By: ASP.NET
WWW-Authenticate: Basic realm="192.0.2.2"
Date: Thu, 13 Jan 2022 00:46:32 GMT
Content-Length: 1313

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-s
trict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=shift_jis"/>
<title>401 - 権限がありません: 資格情報が無効であるため、アクセスが拒否されました。</title>
<style type="text/css">

</style>
</head>
<body>
<div id="header"><h1>サーバーエラー</h1></div>
<div id="content">
<div class="content-container"><fieldset>
<h2>401 - 権限がありません: 資格情報が無効であるため、アクセスが拒否されました。</h2>
<h3>指定した資格情報を使用して、このディレクトリまたはページを表示するアクセス許可がありません。</h
3>
</fieldset></div>
</div>
</body>
</html>

ここから通信が途切れて、最終的に認証エラーとなっている(認証情報は漏れなくなった)

これでも、悪意あるコンテンツと、レンタルサーバを共有しているような場合は、突破されるので、さらなる制限が必要だよ。
(第一引数のWebView viewを使ってポートとか、URLのパスとかに基づいてさらに制限をかける)

リンク

JSSECの「Androidアプリのセキュア設計・セキュアコーディングガイド」は読んでおこう。

以上