人力検索はてな
モバイル版を表示しています。PC版はこちら
i-mobile

サーバー上に保存された情報の保護方法について教えて下さい。

アンケートCGIなどを利用した場合に回答がサーバー上に保存され、そのデータを外部から見られてしまう危険があります。
特に何も対策しなければ、保存データのURLを直接たたけば表示されてしまいます。
保存データの拡張子を.cgiにすることで回避できると思いますが、これだけで安全なのでしょうか?また、どの程度安全なのでしょうか?
他に対策方法ありましたら、教えて下さい。

回答を頂く身で恐れいりますが、参考リンクのみの回答はご遠慮ねがいます。

●質問者: mken03
●カテゴリ:ウェブ制作
✍キーワード:CGI URL アンケート サーバー データ
○ 状態 :終了
└ 回答数 : 7/7件

▽最新の回答へ

1 ● gdm
●16ポイント

データファイルはURLで参照できない場所に置くべきです。

つまりpublic_htmlより上位のディレクトリに置くんです。

パーミッションも落としておきましょう。

基本的にowner以外にwritable権限を与える必要はないはずです。

◎質問者からの返答

とても参考になります!CGIの知識に乏しくパーミッションの設定は任せっきりで、755や604にしていました。

しかし、共用タイプのせいか上位にアクセスできず。

パーミッションの設定で外部からの不正アクセスは防げるのでしょうか。情報ありましたら宜しくお願いします。


2 ● コウジ
●16ポイント

http://www.kent-web.com/pwd/

:: KENT WEB > データ収集加工 ::

いくら拡張子をcgiにしても回避できません。

ブラウザで「見えない」だけですから、直接DLすることで抜かれてしまいます。

見られたくないデータは「アクセス制限」が一番です。

URLは、初心者用アクセス制限のシステムです。

◎質問者からの返答

難易度別の情報、参考になります。

BASIC認証で保護したディレクトリ内にデータを保存するというのが安全ということになるのでしょうか。


3 ● kibitaki
●16ポイント

http://cgiroom.nu/html/html/suidperl.htm

以下はUNIX系サーバ+Perl CGIを使用されているという前提でですが・・・

データファイルの拡張子を*.cgiとすればアドレス直打ちでも

データが見えなくなる、というのは正しい回避方法ではありません。

データファイルに対してのアクセス権限(パーミッション)を設定し、

外からはアドレス直打ちでも見えないようサーバーに指示するのが

良いでしょう。

ただ、ご使用のサーバー環境や使用しているCGIによって具体的な

処理方法が違うので、まずは(ご自分で処理ができそうになければ)

サーバー管理者に問い合わせるのがよいと思います。

◎質問者からの返答

やはり基本的にはパーミッションで制限するというのが王道のようですね。

拡張子を.cgiにしてパーミッションで制限したのにも関わらず、情報が漏れる場合ってどんな状況になるのでしょうか?ルートを取られるということになるのかな?


4 ● grover
●16ポイント

http://www.atmarkit.co.jp/fsecurity/rensai/web01/web01.html

Webサイトのセキュリティ侵害事件から見た脆弱点

その程度では残念ながら安全とは言えません。

なぜ.cgiなのでしょう? まったく予測のつかない拡張子でも良いのでは?

以下はデータ保護の基礎です。是非検討してみてください。

1. 他人に見せる必要がなければ、サーバにデータを残さない。データはmailで自分に送る、サーバに書き込む必要があるなら最新のデータ以外は消しておく。

2. データにアクセス制限を付ける

- パーミッション

- .htacessによるパスワード

- ブラウザでアクセスできる場所にデータを書き込まない

3. データ/パスワードを暗号化する

◎質問者からの返答

回答ありがとうございます。

.cgiにする理由はデータを丸見え状態でなくエラー表示にするという点での回避策です。

アンケートを例にしてしまったのが悪かったですが、メルマガ購読の登録/削除の場合は「1」は難しく「2」「3」の対策が必要なようですね。


5 ● miyamuyuki
●15ポイント

http://www.yahoo.com/

Yahoo!

URL はダミーです。

今の状況で、Webサーバーを公開すること自体危険なような気もします。。。

(サーバーがセキュアなレンタルサーバーなどでセキュリティーも問題ない状態でしたら、上記発言お詫び申し上げます。)

FTP や Telnet も非常に危険であることはご存知でしょうか?これらの通信内容はインターネットに平分で流れるので知識のある人間がパケットを拾えば作業内容が全て漏れてしまいます。

(telnet で root ユーザーに su した場合、root のパスワードを読み取られる可能性もあります。)

質問に対する回答として、可能であれば内部(ローカルアドレス)に別マシンを稼動させ、そちらのデータに書き込むようにした方が良いと思います。

また、アンケートが個人情報(住所、電話番号など)を含む場合は最低限 https での登録経路を用意するべきだと思います。

◎質問者からの返答

回答ありがとうございます。

保存場所、送信経路、参考になりました。


1-5件表示/7件
4.前の5件|次5件6.
関連質問


●質問をもっと探す●



0.人力検索はてなトップ
8.このページを友達に紹介
9.このページの先頭へ
対応機種一覧
お問い合わせ
ヘルプ/お知らせ
ログイン
無料ユーザー登録
はてなトップ