セキュリティセミナー】に、弊社Webチームからmorimorihoge、ika、hachi8833の3名で参加してまいりました。コンサルティング株式会社と、WordPressのホスティング・クラウドインテグレーションのプライム・ストラテジー株式会社によって主催されました。安全なWebアプリケーションの作り方』や『徳丸浩のWebセキュリティ教室』の著者でもある、セキュリティ・コンサルタントの徳丸浩先生です。徳丸先生の一連の書籍は、Webサイト運営担当者やセキュリティ関係者はもちろん、IT開発者にも広く知られています。セミナーの構成セミナーは二部構成でした。プロジェクトの紹介です。当日の参加者は75名で、私どもの見たところでは多くがWordPressの運営に関わっている非開発者だったような印象でした。徳丸先生によるサーバー攻撃の実演は、こういったものを普段実地でまとめて見る機会がないので貴重な体験でした。講演経験が豊富なので、攻撃の実演の手際がとてもスムーズでした。生々しい侵入の実例や裏話も盛りだくさんでした。未成年によるサイト侵入・改ざんの事例も紹介されていましたが、今やこうしたことも普通になっていますね。以下、セミナーの要点の一部を簡潔に記載いたします。いずれもWeb開発者なら押さえておきたい知識です。詳しくは、今後開催される徳丸先生のセミナーに参加することをおすすめいたします。WordPress本体のセキュリティWordPressはCMSで長年トップシェアを占めており、多くの改良や修正を重ねてきたこともあって、WordPress本体では近年大きな脆弱性は見つかっていません。プラグインやテーマのセキュリティWordPress本体よりも、プラグインやテーマによって脆弱性が持ち込まれる可能性が高いので、プラグインやテーマは厳選し、不要なものは削除しましょう。ユーザーが追加・カスタマイズしたPHPコードも脆弱性の原因になりやすいので、重点的なチェックが必要です。WPプラグインはセキュリティの強化に有効な機能を多数搭載しており、プラグイン自体のセキュリティも精査されているので、導入をおすすめします。Webサイトの侵入経路Webサイトへのネットからの侵入経路は、「管理用のツールの認証を突破される」「ソフトウェアの脆弱性を悪用される」の2種類しかありません。したがって、対策もこの2つが対象となります。パスワード対策が最優先ユーザー名を「admin」以外に変えるなどの小手先の対策よりも、ユーザー全員のパスワードを強化することが絶対に重要です。辞書に載っている言葉を使っている、英数字が混ざらずに分離している(abcd123など)、他所で使い回している、といった弱いパスワードを一人でも使っていれば、そこが弱点になってしまいます。明日にでも対策を開始しましょう。プラグインやテーマの開発者へどんなに時間がなくても、せめてIPAの「安全なウェブサイトの作り方」ぐらいは読んでおいてください。APIのセキュリティ機能をよく理解しておきましょう。SQLインジェクションはサイトを完全に奪われる可能性につながるので、徹底的に避けてください。パーミッション開発者やインフラエンジニアが自分たちの作業を邪魔されたくないばかりに、WordPressのファイルやディレクトリのパーミッションを緩めに設定してしまうことがあります。これはやめてください。シンボリックリンク攻撃などの足がかりに使われる可能性があります。WordPressやOSのアップグレードWordPressのみならず、PHPやOSについても継続的なパッチ適用やアップグレードが必要です。Linuxならディストリビューションのパッケージ管理ツール(aptやyumなど)を使うことで管理の手間を軽減できます。根本的な対策を最優先に「侵入されにくくする対策」や「侵入後の被害を緩和する対策」より先に、前述のパスワード強化やセキュリティホールの修復といった根本的解決策を急いでください。参加を終えてWordPressは長年に渡りCMS業界でトップの座を維持していることもあって、本体のセキュリティについては昔と比べてかなり安定度が増しているという印象を受けました。WordPressはサイトドメイン名などの多くの情報をデータベースに直接保存するので、ファイルだけではチェックしきれない部分が多く、WordPressに保存されているデータのセキュリティをチェックする一般的なツールもまだないようなので、開発側としてはそこが課題になりやすいと思えました。実名は引用しませんが、実際に起きた侵入の事例のひとつで「事前の対策や事後の対応はよく行われており、むしろサイト運営側はよくやっていた」と徳丸先生が講評を加えていたのも印象的でした。一緒に参加したWebチーム若手のikaさんは、後日「PSNの情報漏えいはひどかったですよ」としみじみ思い返していました。そうそう、プラグインによってはWordPressの標準から外れたファイル/ディレクトリパーミッションを設定したり要求したりするものがあるので、そこも用心が必要ですね。コボラー、ITコンサル、ローカライズ業界、Rails開発を経てTechRachoの編集・記事作成を担当。チュートリアル第2版の監修および半分程度を翻訳、Railsガイドの初期翻訳ではほぼすべてを翻訳。その後も折に触れて更新翻訳中。enno.jpを運営。実は最近Go言語が好きで、Goで書かれたRubyライクなGoby言語のメンテナーでもある。仕事に関係ないすっとこブログ「あけてくれ」は2000年頃から多少の中断をはさんで継続、現在はnote.muに移転。Storageを使ってはいけない(翻訳)#Tags#会社紹介#自社サービス#勉強会#Rails#PHP#デザイン#実績#週刊RailsウオッチCONTACTお気軽にご相談ください。(翻訳)CONTACTTechRachoでは、パートナーシップをご検討いただける方からのご連絡をお待ちしております。お気軽にご意見・ご相談ください。