他人事ではないぞ！?贰颁サイトのセキュリティ强化
Download as pptx, pdf1 like1,278 views
EC-CUBE名古屋ユーザーグループ 勉強会 Vol.67
他人事ではないぞ！?贰颁サイトのセキュリティ强化
- 2. 自己紹介 名前: 大河内健太郎(@nanasess) 年齢: 42才 出身: 愛知県西尾市一色町 在住: 宝塚市 前職:寿司屋の板前 資格: 調理師?ふぐ処理師 EC-CUBE コミッター?公式エバンジェリスト 最近のマイブーム: 2系のテストを書く
- 8. EC-CUBEにて公表されている 対策の優先順位 1. 改ざんの確認 2. 管理画面の URL 変更 3. 管理画面のアクセス制限 4. 公開ディレクトリの制限 5. CMSのセキュリティ担保
- 9. 事故原因から考えた 対策の優先順位 1. 改ざんの確認 2. 管理画面の URL 変更 3. 管理画面のアクセス制限 4. 公開ディレクトリの制限 5. CMSのセキュリティ担 保 1. 公開ディレクトリの制限 2. 改ざんの確認 3. CMSのセキュリティ担 保 4. 管理画面の URL 変更 5. 管理画面のアクセス制限
- 12. はたしてどんな対策が有効なの か おすすめは ID決済 Amazon Pay / PayPal など 決済サービス側で会員登録するので、改ざんが困難 シングルサインオンでネットショップ側のパスワード不要 (乗っ取りやパスワード漏洩リスク低減) 管理画面もシングルサインオンにすることで不正ログインのリスクが大 幅に低減(Google/Microsoft アカウントと連携させることで2段階認証可 能) EC-CUBE 2系も鋭意開発中
- 13. ぜひやっておきたい対策 .htaccess のパーミッションは書込み不可に(444 など) .htaccess が改ざんされる場合も多い。これやられたら管理画 面の隠蔽など意味無し 管理画面からファイルを更新する便利機能は利用せず、Webサー バー権限で書込み不可に FTPやSSHのみのユーザーでのみ更新できるようにすることで 、攻撃リスク低減
- 14. フレームワークや PHP の サポート期限気をつけて EC-CUBE4系 Symfony3.4(2021年11月末まで) PHP7.2(RHEL/CentOS のベンダーサポートで数年は大丈夫) EC-CUBE3系 Silex(2018年6月末まで) Symfony2.7(2019年5月末まで) 一応、株式会社イーシーキューブはサポートを表明している EC-CUBE2系 PHP5.4(RHEL/CentOS のベンダーサポートで2024年6月末まで)
- 16. ご静聴ありがとうございました！