- 追加された行はこの色です。
- 削除された行はこの色です。
-[[ユーザ認証]]
-[[p2ime]]
-[[やむを得ずレンタルサーバーでp2する場合]]
-[[ロボット検索除け]]
-2004/10/26 [[editfile.phpのセキュリティ修正]] p2 version 1.1.0未満の方へ
-2004/10/26 [[viewtxt.phpのセキュリティ修正]] p2 version 1.1.0未満の方へ
***p2のデータ保存用ディレクトリについて
-p2のデータ保存用ディレクトリ（data）は、Web非公開用のディレクトリに作成することをおすすめします。
-データ保存用ディレクトリは、apacheの設定か.htaccessでFollowSymLinksをしてなければ、シンボリックリンクでも可。p2からは参照出来るけど、ブラウザからは見れなくなる。
***p2のセキュリティ確保について
-.htaccessに色々書く~
基本的に、p2と同じディレクトリに置いて目的のものを書けばよい。
--Basic認証~
.htaccessの内容
AuthName "User Authentication Required!"
AuthType Basic
Require Valid-User #登録ユーザーであれば可
AuthUserFile /path/to/.htpasswd #パスワードファイルの場所
パスワードファイル((場所はドキュメントルートの外を推奨しておく))の作り方~
$ cd /path/to
$ su
# htpasswd -c .htpasswd user1
New password:
Re-type new password:
詳しくは、[[Apacheマニュアル>http://www.apache.jp/docs/]]((自分の鯖のドキュメントルート/manual/以下にも入ってるハズ))等を参照のこと~
[[Google:"man htpasswd"]]~
[[Google:htaccess 認証]]~
--Digest認証~
.htaccessの内容
AuthName "User Authentication Required!"
AuthType Digest
Require Valid-User #登録ユーザーであれば可
AuthDigestFile /path/to/.htpasswd #パスワードファイルの場所
パスワードファイル((場所はドキュメントルートの外を推奨しておく))の作り方~
$ cd /path/to
$ su
# htdigest -c .htpasswd test user1
New password:
Re-type new password:
コマンドの引数がhtpasswdより一個多いので注意してくれ。~
[[Google:man htdigest]]~
[[Google:digest認証 対応ブラウザ]]
---補足~
自分のブラウザが対応しているなら、digest認証の方がセキュリティは上。~
ただし、対応ブラウザは少なめ。~
ただ、最近のHTTP1.1に対応したブラウザならほとんど大丈夫らしい。~
--dataをブラウザから見えなくする~
いわゆる403に飛ばす方法~
p2/data/.htaccessに以下の内容を記述~
ブラウザからは403になるけどp2の動作には問題なし~
order deny,allow
deny from all
--.htaccessや.htpasswdの中身が見られることを防ぐ~
.htaccessに以下を記載~
<Files ~ "^?.ht">
deny from all
</Files>
--dat等へのアクセスを防ぐ~
.htaccessに以下を記載~
<Files ~ "\.(dat|idx|inc)$">
deny from all
</Files>
--特定ホストからのみアクセス許可~
order deny,allow
deny from all
allow from <自分の使うIPアドレス範囲>(ホスト名でも可)
---補足~
ただしホスト名で指定した場合は、IPアドレスで範囲を指定するより安全性が~
低くなることと、逆引きしてIPを照合するために著しくレスポンスが低下する~
ので可能な限りIPアドレスで範囲を指定することが好ましい。~
~
これだけ。簡単でしょ？~
-SSLで通信経路を暗号化！~
以下のHPを参照して設定してくれ。~
--メリット
---通信経路が暗号化されるのでBasic認証でも安全性が充分になる
---リファラ漏れを防ぐ
--デメリット
---設定が少々面倒だということ。
[[ApacheのSSL対応化と環境設定（1/4）>http://www.atmarkit.co.jp/flinux/rensai/apache04/apache04a.html]]~
[[Google:SSL 設定]]~
-.inc に直接アクセスされて表示されるのを防ぐ~
httpd.conf の AddType application/x-httpd-php php の下や .htaccess に
AddType application/x-httpd-php .inc
と書く~
[[.htaccessでMIMEタイプの設定を行う>http://www.shtml.jp/htaccess/mime.html]]~
-ディレクトリの丸見えを防ぐ~
httpd.conf の
<Directory "/usr/local/apache/htdocs">
Options Indexes Includes FollowSymLinks
AllowOverride None
Order allow,deny
Allow from all
</Directory>
から Options の Indexes を消す
<Directory "/usr/local/apache/htdocs">
Options Includes FollowSymLinks
AllowOverride None
Order allow,deny
Allow from all
</Directory>
[[index.htmlが無いとディレクトリが丸見えになってしまう>http://www.itmedia.co.jp/help/tips/linux/l0272.html]]~
-●(ログインID)を使ってない場合は~
勝手に●ログインされるのを防ぐため、login2ch.php と login2ch.inc を捨てる。~
これで万が一、勝手に使われても被害が減少する。~
●については→[[2ちゃんねるビューア ●>http://2ch.tora3.net/]]
![[PukiWiki]](image/p2logo.png "[PukiWiki]")
