セキュリティ対策のバックアップ(No.16)

2004/10/26 editfile.phpのセキュリティ修正 p2 version 1.1.0未満の方へ
2004/10/26 viewtxt.phpのセキュリティ修正 p2 version 1.1.0未満の方へ

p2で書き込むとクライアント名（P2）とリモートホストが丸見えの件

↑

p2のデータ保存用ディレクトリについて

p2のデータ保存用ディレクトリ（data）は、Web非公開用のディレクトリに作成することをおすすめします。
データ保存用ディレクトリは、apacheの設定か.htaccessでFollowSymLinksをしてなければ、シンボリックリンクでも可。p2からは参照出来るけど、ブラウザからは見れなくなる。

↑

p2のセキュリティ確保について

.htaccessに色々書く

Basic認証

AuthName "User Authentication Required!"
AuthType Basic
Require valid-user #登録ユーザーであれば可
AuthUserFile /path/to/.htpasswd #パスワードファイルの場所
$ cd /path/to
$ su
# htpasswd -c .htpasswd user1
New password:
Re-type new password:

Digest認証

AuthName "User Authentication Required!"
AuthType Digest
Require valid-user #登録ユーザーであれば可
AuthDigestFile /path/to/.htpasswd #パスワードファイルの場所
$ cd /path/to
$ su
# htdigest -c .htpasswd test user1
New password:
Re-type new password:

補足

dataをブラウザから見えなくする
```
order deny,allow
deny from all
```

.htaccessや.htpasswdの中身が見られることを防ぐ
```
<Files ~ "^?.ht"> 
deny from all 
</Files>
```

dat等へのアクセスを防ぐ

<Files ~ "\.(dat|idx|inc)$"> 
deny from all 
</Files>

特定ホストからのみアクセス許可

order deny,allow
deny from all
allow from <自分の使うIPアドレス範囲>(ホスト名でも可)

補足

SSLで通信経路を暗号化！
- メリット
  - 通信経路が暗号化されるのでBasic認証でも安全性が充分になる
  - リファラ漏れを防ぐ
- デメリット
  - 設定が少々面倒だということ。

.inc に直接アクセスされて表示されるのを防ぐ
```
AddType application/x-httpd-php .inc
```

ディレクトリの丸見えを防ぐ

<Directory "/usr/local/apache/htdocs">
Options Indexes Includes FollowSymLinks
AllowOverride None
Order allow,deny
Allow from all
</Directory>
<Directory "/usr/local/apache/htdocs">
Options Includes FollowSymLinks
AllowOverride None
Order allow,deny
Allow from all
</Directory>

●(ログインID)を使ってない場合は

セキュリティ対策 のバックアップ(No.16)

p2で書き込むとクライアント名（P2）とリモートホストが丸見えの件

p2のデータ保存用ディレクトリについて

p2のセキュリティ確保について

セキュリティ対策のバックアップ(No.16)